Nastavitve VPN na Macu ne zaženejo strežnika: kje živi prehod

Dve različni opravili v macOS nosita ime VPN, nadzorna plošča z nastavitvami pa obravnava le eno od njih. Če želite, da promet tega Maca odhaja prek ponudnika ali oddaljenega prehoda, zadošča vnos odjemalca. Če želite iz hotelske sobe doseči tiskalnik, NAS ali skrbniško stran v domačem omrežju, mora nekaj v tem omrežju sprejemati povezave od zunaj, in današnji Mac to ni kar tako. Tri vprašanja določijo, v katerem primeru ste, in nanje se je vredno odzvati, preden v polje vpišete naslov.

Vnos odjemalca poimenuje cilj, ne poslušalca

V Sistemskih nastavitvah > Omrežje > VPN na macOS Ventura in novejšem polja, ki jih starejše izdaje hranijo pod omrežnimi nastavitvami, opisujejo, kako doseči tujo končno točko: naslov strežnika, oddaljeni ID, račun ali potrdilo in neobvezna pravila za povezovanje na zahtevo. Shranjevanje tega vnosa shrani povezavo v omrežni konfiguraciji vašega Maca. Nič v postopku ne veže vrat, ne odpira poslušalca in ne vpiše oddaljenega uporabnika.

To lahko preverite iz lupine. Na Macu, za katerega sumite, da streže, zaženite sudo lsof -nP -iUDP in poiščite vrata, ki jih uporablja vaš protokol: 500 in 4500 za IKEv2, 1194 za privzeto OpenVPN, 51820 za WireGuard. Stroj, ki je samo odjemalec, pokaže vtičnice, seznanjene z oddaljenim naslovom in vrati, ne nadomestne vezave, do katere bi prišlo karkoli na internetu. Predori, ki tečejo v Network Extension, se lahko skrijejo pred lsof, zato v vsakem primeru preverite tudi ploščo stanja aplikacije; česar ne boste našli, je Appleova nastavitev, ki ta Mac spremeni v prehod.

Tri vprašanja ločijo dve vlogi

Pojdite skoznje po vrsti. Prvo običajno odloči ostalo, tretje pa je mesto, kjer se večina načrtovanja, značilnega za Mac, zmoti.

1. Kdo začne pogovor? Če vaš Mac kliče navzven in druga stran odgovori, potrebujete odjemalca. Če morajo naprave na internetu klicati navznoter, da dosežejo vaše omrežje, potrebujete prehod z javno vstopno točko, Mac pa lahko ostane odjemalec tega prehoda.

2. Kaj mora biti dosegljivo, ko je predor dvignjen? Ena storitev na enem gostitelju je odločitev o posredovanju vrat. Cela podomrežje, vključno z razreševanjem imen, je odločitev o usmerjanju in DNS, in spreminja, kaj mora prehod posredovati, ne tega, kar pravi vnos odjemalca.

3. Katera izdaja sistema teče na sprejemnem koncu? Za Mace ima to vprašanje trd odgovor. Apple navaja VPN kot odstranjen iz macOS Server 5.7.1, sama aplikacija macOS Server pa je bila ukinjena 21. aprila 2022; obvestilo o zgodovini storitve je stran, ki jo je treba prebrati, ko vas stari priročnik pelje skozi potrditveno polje storitve VPN, ki je ni več.

Ko je prvi odgovor »nekdo od zunaj začne«, prenehajte iskati stikalo v plošči odjemalca Maca in pojdite izbrat gostitelja, ki bo zaključil predor.

Kje lahko prehod živi namesto tega

Štiri razporeditve pokrijejo večino domačih in manjših pisarniških primerov. Usmerjevalnik s pravim strežniškim načinom, v nasprotju z odjemalskim načinom z drugo oznako, zaključi predor na robu in drži število gostiteljev nizko, a za ceno vezanosti na protokolsko podporo te strojne opreme. NAS ali vedno vklopljen mini PC izvaja strežniški paket proizvajalca in vam pušča dnevnike, ki jih lahko berete. Majhen oblačni VM vam da javni naslov, ki ga nadzorujete, in dom doseže prek drugega predora. Mesh prekrivanje, zgrajeno na WireGuardu, ali upravljana storitev, ki posreduje med partnerji, se izogne dohodnemu posredovanju vrat tako, da oba konca kličeta navzven.

Meja med temi možnostmi je običajno vaša internetna povezava, ne programska oprema. Če vas ponudnik postavi za NAT na ravni operaterja, nobeno posredovanje vrat na usmerjevalniku ne ustvari dosegljive vstopne točke, in pošten odgovor je razporeditev z relayem ali mesh. Primerjajte naslov WAN, ki ga poroča usmerjevalnik, z naslovom, ki ga vidi zunanji svet; če se razlikujeta in je vrednost usmerjevalnika v zasebnem ali skupnem obsegu, načrtujte primer z relayem.

Katerikoli gostitelj že izberete, posredujte en protokol na enih vratih namesto obsega, in držite Mac zunaj dohodne poti, razen če ta izdelek dokumentira strežniško vlogo za izdajo macOS, ki jo poganjate.

Potrdite vlogo, preden razdelite profile

Na kandidatu za prehod dokažite, da poslušalec obstaja, namesto da zaupate namestitvenemu programu. Na macOS to pomeni sudo lsof -nP -iUDP, filtriran na zgornja vrata, plus sudo pfctl -s nat, če so pravila filtra paketov del zasnove. Na Linuxu ss -lunp pokaže ista dejstva brez dvoumnosti.

Nato preizkusite od zunaj omrežja, z uporabo samega protokola. Ping dokaže malo: ICMP se pogosto filtrira in ne pove ničesar o UDP 51820. Rokovanje odjemalca s podrobnim beleženjem, izvedeno s telefona na mobilnih podatkih, je najcenejši resnični preizkus, ker gre po isti poti, po kateri bo šel oddaljeni sodelavec.

Šele nato se dotaknete odjemalskih profilov. Na Macu scutil --nc list izpiše storitve VPN, ki jih sistem pozna; če pravkar zgrajenega prehoda ni med njimi, konfigurirate drug stroj od tistega, ki ste ga preizkusili. Če rokovanje uspe v omrežju LAN, a spodleti od zunaj, je napaka na dohodni poti: pravilo NAT, ponudnikov CGNAT ali požarni zid na prehodu, v tem vrstnem redu.

Preden kar koli zgradite, razrešite štiri točke:

• Katera stran začne povezavo, vaš Mac ali oddaljena naprava.
• Ali izdaja sistema in izdelek sprejemnega gostitelja res podpirata strežniško vlogo.
• Ali vam ponudnik sploh daje dosegljiv javni naslov.
• Katera ena vrata in protokol bo prehod sprejel in katera storitev za njim odgovarja.

Naslednji korak je konkreten: izberite gostitelja prehoda, potrdite njegovega poslušalca od zunaj in šele nato ustvarite na Macu vnos odjemalca, ki kaže nanj.