Ako vybrať klienta Mac VPN pre bránu, ktorú už máte

Na stránke sťahovania sa zobrazí šesť aplikácií pre Mac VPN a žiadna z nich neuvádza, ktorú z nich vaša zamestnávateľská brána akceptuje. To nie je medzera v obchode; je to medzera v odovzdaní. SSL VPN je skupina produktov, nie protokol, takže dve brány s rovnakými prihlasovacími obrazovkami môžu vyžadovať rôznych klientov. Toto je poradie, ktoré používam, keď mi niekto podá Mac a adresu servera: zistite, čo hovorí brána, vyberte klienta, ktorý sa s ňou zhoduje, potom overte trasy a DNS predtým, ako dôverujete tunelu s prácou.

Začnite bránou, nie obchodom s aplikáciami

Aplikácia beží na vašom Macu, ale musí akceptovať pripojenie a udeliť prístup niečo iné: brána s operátorom, adresa, kompatibilné nastavenia a spôsob, ako vás autorizovať. Bezplatný klient môže byť dobrý softvér a napriek tomu neposkytuje nič z týchto vecí. Pracovný prístup, domáca brána a komerčný internetový výstup sú tri rôzne východiskové body, ktoré sa vyskytujú pri zdieľaní stránky na stiahnutie.

Pred inštaláciou alebo výmenou čohokoľvek získajte štyri odpovede od toho, kto službu prevádzkuje:

• Režim prístupu: portál prehliadača, vybraný prístup k aplikácii alebo úplný sieťový tunel. To rozhodne, či vôbec potrebujete klienta.

• Rodina brán a podporované vydanie: produkt, povolenú službu a verziu klienta, ktorá stále podporuje vašu zostavu macOS a hardvér Mac.

• autentifikácia: heslo plus MFA, prihlásenie do prehliadača, certifikát zariadenia alebo kontrola polohy. Klient, ktorému chýba schválený tok, sa pripojí a potom bude odmietnutý.

• Vlastníctvo: dôveryhodný zdroj sťahovania alebo správy, zamýšľaný profil a kto ho podporuje, keď sa pokazí.

Vlastníctvo je položka, ktorú ľudia preskočia. Na spravovanom Macu profil často prichádza cez systém riadenia organizácie a ručne vytvorená konfigurácia môže byť nahradená pri najbližšom prihlásení. Skôr ako začnete hľadať aplikáciu tretej strany, opýtajte sa, či sa od vás očakáva, že si niečo nainštalujete sami.

SSL VPN je rodinný štítok, nie protokol

TLS môže chrániť pripojenie, zatiaľ čo výmena špecifická pre daný produkt v ňom spracováva prihlásenie, prideľovanie relácií a prevádzku tunela. Táto vnútorná výmena je to, čo musí klient implementovať. Prehliadač, ktorý dosiahne prihlasovaciu stránku brány HTTPS, dokazuje reťazec certifikátov a webový server; nedokazuje to, že nesúvisiaca aplikácia VPN môže vytvoriť tunel k rovnakému počítaču.

OpenConnect je najjasnejšia ilustrácia, akú poznám. Jeho predchádzajúcu dokumentáciu uvádza samostatné režimy protokolov pre rôzne rodiny brán a oddeľuje interoperabilitu od podpory oficiálneho dodávateľa. Ak by každý SSL VPN hovoril jeden protokol, tieto režimy by boli zbytočné.

Profil OpenVPN má rovnaké obmedzenie aj naopak: ide o formát importu pre nasadenie kompatibilné s OpenVPN. Zdieľanie TLS ako stavebný blok z neho neurobí konfiguračný súbor pre ľubovoľnú podnikovú bránu. To je dôvod, prečo je funkčné prihlásenie do prehliadača falošne pozitívne: prístup k portálu môže byť úspešný, aj keď neexistuje žiadny tunel a tunel, ktorý sa objaví, môže byť neskôr odmietnutý kontrolou polohy.

Prispôsobte klienta tomu, čo hovorí brána

Keď je rodina známa, výber sa rýchlo zužuje. Toto je mapovanie, ktoré kontrolujem ako prvé, a na poslednom stĺpci záleží viac ako na akomkoľvek hodnotení aplikácie.

Dva riadky si zaslúžia varovanie. Vstavaný klient macOS je skutočnou implementáciou IKEv2, nie generickým klientom SSL VPN: služba určená pre neho potrebuje správny profil, očakávanú identitu servera a poverenia a na riadenom počítači môže byť tento profil zablokovaný. OpenConnect pokrýva niekoľko protokolov dodávateľa z jedného binárneho súboru, ale jeho vlastný projekt si nenárokuje podporu dodávateľa; skenovanie hostiteľa, pravidlá rozdeleného tunela vložené bránou alebo konkrétny tok SSO môžu existovať iba v klientovi dodávateľa.

WireGuard má rovnaký tvar. Služba poskytuje partnerov, klient poskytuje tunel a profil OpenVPN nie je náhradou. Jedna macOS vráska: klient App Store uchováva svoje tunely vo vnútri a Network Extension, takže wg show z nástrojov Homebrew nemôže hlásiť nič, kým je rozhranie zapnuté. Namiesto toho overte trasy a premávku.

Nakonfigurujte a potom overte v pevnom poradí

Nainštalujte jedného klienta a jeden profil a poznamenajte si, čo ste zmenili. Pred pripojením zachyťte základnú líniu, aby ste vedeli, čo tunel mení:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Pripojte sa pomocou dodaného profilu a zopakujte rovnaké príkazy. Pre úplný tunel by predvolená trasa mala smerovať na rozhranie utun; s deleným tunelovaním by mali byť smerované iba interné predpony a váš verejný východ by mal vyzerať nezmenený. DNS je polovica, ktorá zvyčajne zostáva nefunkčná: scutil --dns uvádza rozkladače v poradí, v akom ich systém použije, a interný prekladač pod verejným pošle interné názvy nesprávnemu serveru.

Pre službu OpenVPN je Tunnelblick rozumným bezplatným klientom a jeho vlastný sprievodca sa týka chýbajúcej polovice: neposkytuje službu VPN. Dvakrát kliknite na .ovpn, ktoré ste dostali, nechajte Tunnelblick nainštalovať ho a skontrolujte vydanie oproti svojej verzii macOS predtým, ako sa naň spoľahnete.

Pre bránu dodávateľa často testujem s OpenConnect z príkazového riadku:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Nástroj vytlačí prijatý certifikát a počká, kým bude dôverovať neznámemu reťazcu; táto výzva je funkcia a pripnutie pomocou --servercert pin-sha256:... je lepšie ako prijať varovanie, ktoré ste si neprečítali. Ctrl-C rozbije tunel, pretože otvorené pripojenie v popredí nemá žiadny prepínač zabíjania a žiadnu logiku opätovného pripojenia. To je v poriadku pre diagnostickú reláciu a zlé predvolené nastavenie pre každodennú prácu.

Keď neexistuje žiadna brána, ktorá by sa mohla zhodovať

Niektorí ľudia prichádzajú s opačným problémom: žiadny operátor, žiadna adresa, žiadna služba. Bezplatná aplikácia pre Mac nemôže vytvoriť prichádzajúcu dostupnosť na domácom smerovači. Ak chcete vlastnú sieť od hotela, niekto musí doma spustiť bránu, nechať ju oplatenú, zverejniť alebo vyriešiť jej adresu a rozhodnúť, ktoré zariadenia sú dostupné.

Ak chcete iný výstup z internetu ako prístup k súkromnej sieti, vyberte službu pred klientom. Prázdny zoznam profilov v samostatnom klientovi často nie je nefunkčným bezplatným predplatným; nemusí byť žiadne predplatné ani pripojený server. Oddeľte si aj náklady: klientska licencia, plán služieb a samostatne ovládaná brána sú tri rôzne nákupy.

Pracovný Mac pridáva vrstvu politiky. Bezplatná aplikácia môže byť chybná, aj keď sa pripojí, pretože schválený klient môže vynútiť kontroly zariadenia alebo overovací tok, ktorý alternatíve chýba. Požiadajte o schválenú alternatívu namiesto kopírovania poverení medzi nesúvisiacimi aplikáciami a nepovažujte zakázanie ochrany platformy za opravu kompatibility.

Prehliadač na vzdialenej ploche je tiež odlišný produkt. Ukáže vám reláciu na inom počítači; neposkytne vašim lokálnym aplikáciám Mac sieťovú cestu, ktorú poskytuje tunel.

Krátky kontrolný zoznam pred prvou skutočnou reláciou

Pomenujte rodinu brán a režim prístupu písomne, nainštalujte iba klienta, ktorý sa im zhoduje, a zaznamenajte si profil, ktorý ste použili. Potom potvrďte tri veci so skutočnou prevádzkou: trasy, ktoré nainštaloval tunel, poradie prekladača a jedna interná aplikácia dosiahnutá podľa názvu a nie podľa IP.

Ak niečo zlyhá, zmeňte naraz jednu premennú: klient, profil, autentizačný tok. Portál, ktorý sa načíta, zatiaľ čo tunel odmieta spustiť, oddeľuje problém webového servera od problému s kompatibilitou klienta. Akonáhle pracovná služba odpovie a verejná cesta sa bude správať podľa očakávania, máte namiesto hromady dohadov pomenované podporované usporiadanie.