Nastavenie VPN na Macu: vyberte klienta, ktorý zodpovedá vášmu profilu

Nastavte klienta, ktorého uvádza váš operátor VPN, a potom dokážte tunel súkromným zdrojom, ktorý skutočne potrebujete. Mac dokáže uchovať natívnu konfiguráciu VPN v Nastaveniach systému, ale súbor OpenVPN alebo WireGuard potrebuje softvér, ktorý rozumie formátu, a sú to rôzne cesty nastavenia. Typ prihlasovacích údajov určuje, ako prihlásenie zlyhá, preto si ho prečítajte, skôr než niečo napíšete. Výsledok posudzujte podľa toho, čo vracia súkromný zdroj, nie podľa ikony v riadku ponuky.

Zlaďte klienta s profilom, ktorý ste dostali

Začnite súborom alebo pokynmi, ktoré poslal váš operátor, nie zoznamom protokolov na stránke na stiahnutie. Natívny formulár VPN v Nastaveniach systému zvláda určité typy; profil OpenVPN alebo konfigurácia WireGuard potrebuje aplikáciu, ktorá ich spracuje. Spravovaný Mac môže už dostávať pripojenie zo správy zariadení a pridanie druhého profilu navrch vytvorí konflikt namiesto nastavenia. Pozrite sa, čo už existuje, skôr než niečo nainštalujete.

Spôsob prihlásenia vychádza z profilu a zvyčajne je jedným z troch: heslo k účtu, klientsky certifikát alebo prístupová fráza, ktorá odomyká súkromný kľúč. Nesprávne heslo aj odmietnutý certifikát zastavia pripojenie, ale nečítajú sa rovnako a iba jedno z nich sa lieči resetovaním hesla k účtu. Prečítajte si odmietnutie, skôr než niečo zmeníte: expirovaný alebo nedôveryhodný certifikát zlyhá aj po resete hesla, kým zlé heslo zlyhá hneď, na prvý pokus.

Držte súkromný materiál mimo zdieľaných záznamov. Prístupová fráza ku kľúču, klientsky certifikát a jeho kľúč nepatria do chatového vlákna s kolegom a snímka obrazovky editora profilu zvyčajne prezradí viac, než odosielateľ čaká. Ak operátor dodá importovateľný súbor, importujte ho namiesto ručného prepisovania hodnôt.

Dokážte, že to funguje na zdroji, nie na ikone

Pracovný profil často smeruje len kancelárske ciele, takže verejná adresa, ktorú vidíte pri prehliadaní, môže zostať rovnaká, kým súkromná aplikácia funguje. Na osobnom výstupnom profile sa adresa, ktorú vidíte zvonka, musí zmeniť, a na pracovnom zvyčajne nesmie. Zmerajte ten rozdiel, skôr než usúdite, že je tunel pokazený.

Potom otvorte zdroj, ktorý skutočne potrebujete: zdieľanie súborov, administračnú stránku, hostiteľa databázy. Načítanie domovskej stránky cez tunel dokazuje, že tunel prenáša nejakú prevádzku, nie že prenáša prevádzku, ktorú ste zamýšľali. Ak prehliadač stále ukazuje pôvodnú adresu, keď ju má profil zmeniť, porovnajte tri veci: použitú aplikáciu, rodinu adries a politiku proxy. Proxy prehliadača alebo cesta cez IPv6 môže odviesť prevádzku mimo VPN, kým samotný tunel je zdravý.

Kde klient zobrazuje smerovaciu tabuľku, prečítajte predvolenú trasu a trasu tunela. Tá dvojica zaznamenáva, aký návrh ste skutočne nasadili.

Keď prestane fungovať, nájdite vrstvu, ktorá sa pokazila

Nastavenie, ktoré predtým fungovalo, sa zvyčajne pokazilo preto, že sa na cestu pridalo niečo ďalšie: druhý klient VPN, bezpečnostný agent, filter obsahu, nové sieťové rozšírenie. Používajte vlastnú diagnostiku produktu namiesto mazania predvolieb alebo resetovania sieťového zásobníka, čo je nádej, nie diagnóza. Priraďte zlyhanie k udalosti — spánok, zmena Wi-Fi, prihlásenie na portál alebo aktualizácia klienta — a poznamenajte, či sa opakuje. Opakovateľný spúšťač patrí do tiketu spolu s časom, kedy nastal.

Mená zlyhávajú inak ako trasy. K súkromnému hostiteľovi sa má pristupovať jeho zdokumentovaným plným menom a krátke kancelárske mená závisia od interného resolvera plus vyhľadávacej domény, ktorá existuje len na firemnej ceste. Vymeňte ten resolver za verejnú službu DNS a krátke mená prestanú úplne prekladať, čo vyzerá ako pokazený tunel, ale nie je.

scutil --dns
dscacheutil -q host -a name intranet.example.com

Vo výstupe scutil --dns nájdite resolver, ktorého vyhľadávacia doména zodpovedá vašej firemnej doméne, a prečítajte menný server, na ktorý ukazuje; záznamy uvedené v konfigurácii DNS ukazujú, ktorý resolver poskytuje každé rozhranie. Keď sa firemný resolver objaví len pre iné rozhranie, alebo prehliadač prevádzkuje vlastné šifrované DNS, jedna aplikácia preloží meno, kým všetko ostatné zlyhá.

Odstráňte profil, ktorý už nepotrebujete, mechanizmom, ktorý ho nainštaloval, pretože zmazanie lokálneho záznamu ponechá účet na strane servera živý a zastaraný klient môže stále žiadať tie isté trasy. Na spravovanom Macu platí postup odstránenia od správcu. Zapíšte názov profilu, adresu servera a fungujúci zdroj, skôr než čokoľvek odstránite, aby obnova nezačínala od nuly.