Kako izbrati odjemalca Mac VPN za prehod, ki ga že imate

Šest aplikacij za Mac VPN se prikaže na strani za prenos in nobena od njih ne pove, katero bo sprejel prehod vašega delodajalca. To ni vrzel v trgovini; to je vrzel v predaji. SSL VPN je družina izdelkov in ne protokol, zato lahko dva prehoda z enakimi zasloni za prijavo zahtevata različne odjemalce. Sledi vrstni red, ki ga uporabim, ko mi nekdo izroči Mac in naslov strežnika: ugotovite, kaj govori prehod, izberite odjemalca, ki se ujema z njim, nato preverite poti in DNS, preden zaupate tunelu, da deluje.

Začnite s prehodom, ne s trgovino z aplikacijami

Aplikacija deluje na vašem Macu, vendar mora nekaj drugega sprejeti povezavo in odobriti dostop: prehod z operaterjem, naslov, združljive nastavitve in način, da vas avtorizira. Brezplačni odjemalec je lahko dobra programska oprema in še vedno ne ponuja nobene od teh stvari. Dostop do službe, domači prehod in komercialni internetni izhod so tri različne izhodiščne točke, ki si delijo stran za prenos.

Preden karkoli namestite ali zamenjate, pridobite štiri odgovore od osebe, ki upravlja storitev:

• Način dostopa: portal brskalnika, dostop do izbrane aplikacije ali celoten omrežni tunel. To odloča o tem, ali stranko sploh potrebujete.

• Družina prehodov in podprta izdaja: izdelek, omogočeno storitev in različico odjemalca, ki še vedno podpira vašo macOS gradnjo in strojno opremo Mac.

• Preverjanje pristnosti: geslo plus MFA, prijava v brskalnik, potrdilo naprave ali preverjanje drže. Odjemalec, ki nima odobrenega toka, se bo povezal in nato zavrnil.

• Lastništvo: zaupanja vreden vir za prenos ali upravljanje, predvideni profil in kdo ga podpira, ko se pokvari.

Lastništvo je stvar, ki jo ljudje preskočijo. Na upravljanem Macu profil pogosto prispe prek sistema za upravljanje organizacije, ročno sestavljeno konfiguracijo pa je mogoče zamenjati ob naslednji prijavi. Vprašajte, ali se od vas pričakuje, da boste karkoli namestili sami, preden greste iskati aplikacijo tretje osebe.

SSL VPN je družinska oznaka in ne protokol

TLS lahko zaščiti povezavo, medtem ko izmenjava, specifična za izdelek, v njej obravnava prijavo, dodeljevanje seje in promet v tunelu. To notranjo izmenjavo mora izvajati stranka. Brskalnik, ki doseže prijavno stran prehoda HTTPS, dokazuje verigo potrdil in spletni strežnik; ne dokazuje, da lahko nepovezana aplikacija VPN zgradi tunel do istega stroja.

OpenConnect je najbolj jasna ilustracija, kar jih poznam. Njegovo predhodna dokumentacija navaja ločene načine protokola za različne družine prehodov in ločuje interoperabilnost od uradne podpore prodajalca. Če bi vsak SSL VPN govoril en protokol, bi bili ti načini nepotrebni.

Profil OpenVPN ima enako omejitev obratno: to je oblika uvoza za uvedbo, združljivo z OpenVPN. Skupna raba TLS kot gradnika tega ne spremeni v konfiguracijsko datoteko za poljuben prehod podjetja. Zato je delujoča prijava v brskalnik lažno pozitivna: dostop do portala je lahko uspešen, medtem ko predor ne obstaja, in predor, ki se pojavi, je še vedno mogoče zavrniti s kasnejšim preverjanjem položaja.

Povežite stranko s tem, kar govori prehod

Ko je družina znana, se izbira hitro zoži. To je preslikava, ki jo najprej preverim, zadnji stolpec pa je pomembnejši od katere koli ocene aplikacije.

Dve vrsti si zaslužita opozorilo. Vgrajeni macOS odjemalec je resnična IKEv2 izvedba, ne generični SSL VPN odjemalec: storitev, zasnovana zanj, potrebuje pravilen profil, pričakovano identiteto strežnika in poverilnice, na upravljanem računalniku pa je ta profil lahko zaklenjen. OpenConnect pokriva več protokolov dobaviteljev iz ene binarne datoteke, vendar njegov lastni projekt ne zahteva podpore proizvajalca; skeniranje gostitelja, pravila razdeljenega tunela, ki jih potisne prehod, ali določen tok SSO lahko obstajajo samo v odjemalcu prodajalca.

WireGuard ima enako obliko. Storitev zagotavlja vrstnike, odjemalec zagotavlja tunel in profil OpenVPN ni nadomestek. Ena macOS guba: odjemalec App Store ohranja svoje tunele v sebi a Network Extension, zato wg show iz orodij Homebrew ne more sporočiti ničesar, medtem ko je vmesnik odprt. Namesto tega preverite s potmi in prometom.

Konfigurirajte in nato preverite v določenem vrstnem redu

Namestite enega odjemalca in en profil ter beležite, kaj ste spremenili. Preden vzpostavite povezavo, zajemite osnovno linijo, da boste lahko vedeli, kaj spreminja predor:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Povežite se s priloženim profilom in ponovite iste ukaze. Za polni tunel mora privzeta pot kazati na vmesnik utun; pri deljenem tuneliranju bi morale biti usmerjene samo notranje predpone in vaš javni izhod bi moral izgledati nespremenjen. DNS je polovica, ki običajno ostane pokvarjena: scutil --dns navaja razreševalce v vrstnem redu, v katerem jih bo sistem uporabljal, in notranji razreševalec, ki sedi pod javnim, bo poslal notranja imena na napačen strežnik.

Za storitev OpenVPN je Tunnelblick razumna brezplačna stranka in njen vodnik je neposreden glede manjkajoče polovice: ne nudi storitve VPN. Dvokliknite .ovpn, ki ste ga prejeli, pustite Tunnelblick, da ga namesti in preverite izdajo glede na svojo različico macOS, preden se zanesete nanjo.

Za prehod prodajalca pogosto testiram z OpenConnect iz ukazne vrstice:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Orodje natisne prejeto potrdilo in počaka, preden zaupa neznani verigi; ta poziv je funkcija in pripenjanje z --servercert pin-sha256:... je boljše kot sprejetje opozorila, ki ga niste prebrali. Ctrl-C podre tunel, ker odprta povezava v ospredju nima stikala za izklop in logike za ponovno povezavo. To je v redu za diagnostično sejo in slabo privzeto za vsakodnevno delo.

Ko ni prehoda za ujemanje

Nekateri pridejo z nasprotno težavo: brez operaterja, brez naslova, brez storitve. Brezplačna aplikacija za Mac ne more ustvariti dohodne dosegljivosti na domačem usmerjevalniku. Če želite svoje lastno omrežje iz hotela, mora nekdo doma upravljati prehod, ga vzdrževati zakrpanega, objaviti ali razrešiti njegov naslov in se odločiti, katere naprave so dosegljive.

Če želite drugačen internetni izhod namesto dostopa do zasebnega omrežja, izberite storitev pred odjemalcem. Prazen seznam profilov v samostojnem odjemalcu pogosto ni pokvarjena brezplačna naročnina; morda ni naročnine in ni priključenega strežnika. Ločite tudi stroške: licenca za stranko, načrt storitev in prehod, ki ga upravljate sami, so trije različni nakupi.

Delovni Mac doda sloj pravilnika. Brezplačna aplikacija je lahko napačna, tudi ko se poveže, ker lahko odobreni odjemalec uveljavi preverjanje naprave ali potek preverjanja pristnosti, ki ga alternativa nima. Zahtevajte odobreno alternativo, namesto da kopirate poverilnice med nepovezanimi aplikacijami in ne obravnavajte onemogočanja zaščite platforme kot popravka združljivosti.

Pregledovalnik oddaljenega namizja je prav tako drugačen izdelek. Prikazuje sejo v drugem računalniku; vašim lokalnim aplikacijam Mac ne daje omrežne poti, ki jo ponuja tunel.

Kratek kontrolni seznam pred prvo pravo sejo

Pisno poimenujte družino prehodov in način dostopa, namestite samo odjemalca, ki se jima ujema, in zabeležite profil, ki ste ga uporabili. Nato potrdite tri stvari z dejanskim prometom: poti, ki jih je namestil tunel, vrstni red razreševalcev in eno notranjo aplikacijo, doseženo po imenu in ne po IP-ju.

Če nekaj ne uspe, spremenite eno spremenljivko naenkrat: odjemalec, profil, tok avtorizacije. Portal, ki se naloži, medtem ko se tunel noče zagnati, ločuje težavo spletnega strežnika od težave z združljivostjo odjemalca. Ko se delovna storitev odzove in se javna pot obnaša po pričakovanjih, imate imenovano, podprto ureditev namesto kupa ugibanj.