Настройка VPN на Mac: выберите клиент, подходящий вашему профилю

Настройте клиент, который называет ваш оператор VPN, а затем докажите работу туннеля тем частным ресурсом, который вам действительно нужен. Mac может хранить встроенную конфигурацию VPN в Системных настройках, но файл OpenVPN или WireGuard требует программы, понимающей формат, и это разные пути настройки. Тип учётных данных определяет, как именно завершится вход, поэтому прочитайте его, прежде чем что-либо вводить. Судите о результате по тому, что возвращает частный ресурс, а не по значку в строке меню.

Приведите клиент в соответствие с полученным профилем

Начните с файла или инструкций, которые прислал ваш оператор, а не со списка протоколов на сайте загрузки. Встроенная форма VPN в Системных настройках обрабатывает определённые типы; профиль OpenVPN или конфигурация WireGuard требуют приложения, которое их разбирает. Управляемый Mac может уже получать подключение от управления устройствами, а добавление второго профиля поверх создаёт конфликт вместо настройки. Посмотрите, что уже есть, прежде чем что-то устанавливать.

Способ входа берётся из профиля и обычно является одним из трёх: пароль учётной записи, клиентский сертификат или парольная фраза, открывающая закрытый ключ. Неверный пароль и отклонённый сертификат оба останавливают подключение, но читаются они по-разному, и только одно из этого лечится сбросом пароля учётной записи. Прочитайте отказ, прежде чем что-либо менять: просроченный или недоверенный сертификат по-прежнему не работает после сброса пароля, а неверный пароль не проходит сразу, с первой попытки.

Держите приватные материалы вне общих журналов. Парольная фраза ключа, клиентский сертификат и его ключ не предназначены для переписки с коллегой, а снимок экрана редактора профиля обычно раскрывает больше, чем ожидает отправитель. Если оператор предоставляет файл для импорта, импортируйте его, а не вводите значения заново вручную.

Докажите работу на ресурсе, а не на значке

Рабочий профиль часто направляет только офисные адреса, поэтому публичный адрес, который вы видите при просмотре, может оставаться тем же, пока частное приложение работает. В личном профиле выхода адрес, видимый снаружи, должен меняться, а в рабочем обычно нет. Измерьте эту разницу, прежде чем заключить, что туннель сломан.

Затем откройте ресурс, который вам действительно нужен: файловый ресурс, страницу администрирования, хост базы данных. Загрузка домашней страницы через туннель доказывает, что туннель несёт какой-то трафик, а не тот, который вы задумали. Если браузер по-прежнему показывает исходный адрес, хотя профиль должен его менять, сравните три вещи: используемое приложение, семейство адресов и политику прокси. Прокси браузера или путь по IPv6 могут увести трафик мимо VPN, пока сам туннель в порядке.

Там, где клиент показывает таблицу маршрутизации, прочитайте маршрут по умолчанию и маршрут туннеля. Эта пара фиксирует, какую схему вы действительно развернули.

Когда это перестаёт работать, найдите сломавшийся уровень

Настройка, которая работала раньше, обычно ломалась потому, что к пути что-то добавилось: второй клиент VPN, агент безопасности, фильтр содержимого, новое сетевое расширение. Используйте собственную диагностику продукта, а не удаляйте настройки и не сбрасывайте сетевой стек, что является надеждой, а не диагностикой. Привяжите сбой к событию — сну, смене Wi-Fi, входу на портал или обновлению клиента — и отметьте, повторяется ли он. Повторяющийся триггер должен попасть в заявку вместе со временем, когда это произошло.

Имена терпят неудачу иначе, чем маршруты. К частному хосту нужно обращаться по его задокументированному полному имени, а короткие офисные имена зависят от внутреннего резолвера и домена поиска, который существует только на корпоративном пути. Замените этот резолвер публичной службой DNS, и короткие имена перестанут разрешаться вовсе, что выглядит как сломанный туннель, но им не является.

scutil --dns
dscacheutil -q host -a name intranet.example.com

В выводе scutil --dns найдите резолвер, домен поиска которого совпадает с вашим корпоративным доменом, и прочитайте сервер имён, на который он указывает; записи, перечисленные в конфигурации DNS, показывают, какой резолвер предоставляет каждый интерфейс. Когда корпоративный резолвер появляется только для другого интерфейса, или браузер запускает собственный шифрованный DNS, одно приложение разрешает имя, а всё остальное терпит неудачу.

Удалите профиль, который больше не нужен, тем механизмом, который его установил, потому что удаление локальной записи оставляет учётную запись на стороне сервера живой, и устаревший клиент всё ещё может требовать те же маршруты. На управляемом Mac учитывается процедура удаления администратора. Запишите имя профиля, адрес сервера и работающий ресурс, прежде чем что-либо удалять, чтобы восстановление не начиналось с нуля.