Nastavenia VPN na Macu nespúšťajú server: kde býva brána

V macOS nesú názov VPN dve rôzne úlohy a panel nastavení sa venuje len jednej z nich. Ak chcete, aby premávka tohto Macu vychádzala cez poskytovateľa alebo vzdialenú bránu, stačí klientsky záznam. Ak sa chcete z hotelovej izby dostať k tlačiarni, NAS alebo administračnej stránke v domácej sieti, niečo v tejto sieti musí prijímať pripojenia zvonka, a dnešný Mac to nie je hneď po vybalení. Tri otázky určujú, v ktorom prípade ste, a oplatí sa na ne odpovedať skôr, než napíšete adresu do poľa.

Klientsky záznam pomenúva cieľ, nie poslucháča

V Systémových nastaveniach > Sieť > VPN na macOS Ventura a novšom polia, ktoré staršie vydania držia v sieťových preferenciách, opisujú, ako sa dostať k cudziemu koncovému bodu: adresa servera, vzdialené ID, konto alebo certifikát a voliteľné pravidlá pripojenia na požiadanie. Uložením tohto záznamu sa pripojenie uloží do konfigurácie siete vášho Macu. Nič v tomto postupe nezväzuje port, neotvára poslucháča ani nezapisuje vzdialeného používateľa.

Môžete to overiť z shellu. Na Macu, ktorý podozrievate zo služby, spustite sudo lsof -nP -iUDP a hľadajte porty, ktoré používa váš protokol: 500 a 4500 pre IKEv2, 1194 pre predvolené OpenVPN, 51820 pre WireGuard. Stroj, ktorý je iba klient, zobrazuje sockety spárované so vzdialenou adresou a portom, nie zástupné zviazanie, ku ktorému by sa dostalo čokoľvek na internete. Tunely bežiace v Network Extension sa môžu skryť pred lsof, preto skontrolujte aj panel stavu aplikácie; čo nenájdete, je nastavenie Apple, ktoré z tohto Macu robí bránu.

Tri otázky oddeľujú dve úlohy

Prejdite ich v poradí. Prvá zvyčajne rozhodne o zvyšku a tretia je miesto, kde sa najviac mýli plánovanie špecifické pre Mac.

1. Kto začína rozhovor? Ak váš Mac volá von a druhá strana odpovedá, potrebujete klienta. Ak zariadenia na internete musia volať dovnútra, aby sa dostali do vašej siete, potrebujete bránu s verejným vstupným bodom a Mac môže zostať klientom tejto brány.

2. Čo musí byť dostupné, kým je tunel hore? Jedna služba na jednom hostiteľovi je rozhodnutie o presmerovaní portov. Celá podsiete vrátane rozlišovania názvov je rozhodnutie o smerovaní a DNS a mení to, čo brána musí ďalej posielať, nie to, čo hovorí klientsky záznam.

3. Ktoré vydanie systému beží na prijímajúcej strane? Pre Macy má táto otázka tvrdú odpoveď. Apple uvádza VPN ako odstránené z macOS Server 5.7.1 a samotná aplikácia macOS Server bola ukončená 21. apríla 2022; oznámenie o histórii služby je stránka, ktorú treba čítať, keď vás starý návod vedie cez zaškrtávacie pole služby VPN, ktorá už neexistuje.

Keď je prvou odpoveďou „niekto zvonku začína“, prestaňte hľadať prepínač v klientskom paneli Macu a vyberte hostiteľa, ktorý tunel ukončí.

Kde môže brána bývať namiesto toho

Štyri usporiadania pokrývajú väčšinu domácich a malých kancelárskych prípadov. Router so skutočným serverovým režimom, na rozdiel od klientskeho režimu s inou etiketou, ukončuje tunel na okraji a udržiava nízky počet hostiteľov, no za cenu viazanosti na podporu protokolov tohto firmvéru. NAS alebo stále zapnutý mini PC spúšťa serverový balík výrobcu a necháva vám čitateľné záznamy. Malý cloudový VM vám dáva verejnú adresu, ktorú kontrolujete, a dostane sa domov cez druhý tunel. Mesh prekrytie postavené na WireGuarde alebo spravovaná služba, ktorá prenáša medzi partnermi, obchádza prichádzajúce presmerovanie portov tým, že oba konce volajú von.

Hranicou medzi týmito možnosťami je zvyčajne vaše internetové pripojenie, nie softvér. Ak vás poskytovateľ umiestni za NAT na úrovni operátora, žiadne presmerovanie portov na routeri nevytvorí dostupný vstupný bod a čestnou odpoveďou je usporiadanie s relay alebo mesh. Porovnajte WAN adresu, ktorú hlási router, s adresou, ktorú vidí vonkajší svet; ak sa líšia a hodnota routera je v súkromnom alebo zdieľanom rozsahu, plánujte prípad s relay.

Nech vyberiete akéhokoľvek hostiteľa, presmerujte jeden protokol na jednom porte namiesto rozsahu a držte Mac mimo prichádzajúcej cesty, pokiaľ ten konkrétny produkt nedokumentuje serverovú úlohu pre vydanie macOS, ktoré prevádzkujete.

Potvrďte úlohu skôr, než rozdáte profily

Na kandidátovi na bránu dokážte, že poslucháč existuje, namiesto toho, aby ste verili, že ho vytvoril inštalátor. Na macOS to znamená sudo lsof -nP -iUDP filtrovaný na porty vyššie, plus sudo pfctl -s nat, ak sú pravidlá filtra pakietov súčasťou návrhu. Na Linuxe ss -lunp ukazuje rovnaké fakty bez nejednoznačnosti.

Potom otestujte zvonka siete, pomocou samotného protokolu. Ping dokazuje málo: ICMP sa často filtruje a nič nehovorí o UDP 51820. Klientske podanie ruky s podrobným logovaním, spustené z telefónu na mobilných dátach, je najlacnejší skutočný test, pretože ide tou istou cestou, ktorou pôjde vzdialený kolega.

Až potom sa dotknete klientskych profilov. Na Macu scutil --nc list vypíše služby VPN, ktoré systém pozná; ak brána, ktorú ste práve postavili, medzi nimi nie je, konfigurujete iný stroj než ten, ktorý ste testovali. Ak podanie ruky uspeje v LAN, ale zvonku zlyhá, chyba je v prichádzajúcej ceste: pravidlo NAT, CGNAT poskytovateľa alebo firewall na bráne, v tomto poradí.

Skôr než čokoľvek postavíte, vyriešte štyri body:

• Ktorá strana začína spojenie, váš Mac alebo vzdialené zariadenie.
• Či vydanie systému a produkt prijímajúceho hostiteľa skutočne podporujú serverovú úlohu.
• Či vám poskytovateľ vôbec dáva dostupnú verejnú adresu.
• Ktorý jediný port a protokol brána prijme a ktorá služba za ňou odpovedá.

Ďalší krok je konkrétny: vyberte hostiteľa brány, potvrďte jeho poslucháča zvonka a až potom vytvorte na Macu klientsky záznam, ktorý naň ukazuje.