Si të zgjidhni një klient Mac VPN për portën që keni tashmë

Gjashtë aplikacione Mac VPN shfaqen në një faqe shkarkimi dhe asnjëri prej tyre nuk thotë se cilën prej tyre do të pranojë porta juaj e punëdhënësit. Kjo nuk është një boshllëk në dyqan; është një hendek në dorëzim. Një SSL VPN është një familje produktesh, jo një protokoll, kështu që dy porta me ekrane identike identifikimi mund të kërkojnë klientë të ndryshëm. Këtu është rendi që përdor kur dikush më jep një Mac dhe një adresë serveri: vendos se çfarë flet porta, zgjidh klientin që përputhet me të, më pas verifiko rrugët dhe DNS përpara se t'i besosh tunelit me punën.

Filloni me portën, jo me dyqanin e aplikacioneve

Aplikacioni funksionon në Mac-in tuaj, por diçka tjetër duhet të pranojë lidhjen dhe të japë akses: një portë me një operator, një adresë, cilësime të pajtueshme dhe një mënyrë për t'ju autorizuar. Një klient pa pagesë mund të jetë softuer i mirë dhe ende nuk furnizon asnjë nga ato gjëra. Qasja në punë, një portë në shtëpi dhe një dalje komerciale në internet janë tre pika të ndryshme fillestare që ndodhin për të ndarë një faqe shkarkimi.

Përpara se të instaloni ose zëvendësoni ndonjë gjë, merrni katër përgjigje nga kushdo që drejton shërbimin:

• Mënyra e hyrjes: Portali i shfletuesit, aksesi i zgjedhur i aplikacionit ose një tunel i plotë i rrjetit. Kjo vendos nëse keni nevojë për një klient fare.

• Familja e Gateway dhe lëshimi i mbështetur: produktin, shërbimin e aktivizuar dhe një version klienti që ende mbështet ndërtimin tuaj macOS dhe harduerin Mac.

• Vërtetimi: fjalëkalimi plus MFA, identifikimi në shfletues, certifikata e pajisjes ose një kontroll qëndrimi. Një klient që i mungon fluksi i miratuar do të lidhet dhe më pas do të refuzohet.

• Pronësia: burimi i besuar i shkarkimit ose i menaxhimit, profili i synuar dhe kush e mbështet atë kur prishet.

Pronësia është artikulli që njerëzit anashkalojnë. Në një Mac të menaxhuar, profili shpesh arrin përmes sistemit të menaxhimit të organizatës dhe një konfigurim i ndërtuar me dorë mund të zëvendësohet në check-in tjetër. Pyesni nëse pritet të instaloni ndonjë gjë vetë përpara se të kërkoni një aplikacion të palës së tretë.

SSL VPN është një emërtim familjar, jo një protokoll

TLS mund të mbrojë një lidhje ndërsa një shkëmbim specifik produkti brenda tij trajton hyrjen, shpërndarjen e sesioneve dhe trafikun e tunelit. Ky shkëmbim i brendshëm është ajo që duhet të zbatojë një klient. Një shfletues që arrin në faqen e hyrjes në portën HTTPS provon zinxhirin e certifikatave dhe serverin e internetit; nuk provon se një aplikacion VPN i palidhur mund të ndërtojë një tunel në të njëjtën makinë.

OpenConnect është ilustrimi më i qartë që njoh. E saj dokumentacioni në rrjedhën e sipërme liston mënyra të veçanta të protokollit për familje të ndryshme portash dhe ndan ndërveprueshmërinë nga mbështetja zyrtare e shitësit. Nëse çdo SSL VPN do të fliste një protokoll, ato mënyra do të ishin të panevojshme.

Një profil OpenVPN ka të njëjtin kufizim anasjelltas: është një format importi për një vendosje të pajtueshme me OpenVPN. Ndarja e TLS si një bllok ndërtimi nuk e kthen atë në një skedar konfigurimi për një portë arbitrare të ndërmarrjes. Kjo është arsyeja pse një hyrje e funksionimit të shfletuesit është një pozitiv i rremë: qasja në portal mund të ketë sukses kur nuk ekziston asnjë tunel dhe një tunel që del ende mund të refuzohet nga një kontroll qëndrimi më vonë.

Përputhni klientin me atë që flet porta

Pasi familja njihet, zgjedhja ngushtohet shpejt. Ky është harta që kontrolloj së pari dhe kolona e fundit ka më shumë rëndësi se çdo vlerësim i aplikacionit.

Dy rreshta meritojnë një paralajmërim. Klienti i integruar macOS është një implementim i vërtetë IKEv2, jo një klient i përgjithshëm SSL VPN: një shërbim i krijuar për të ka nevojë për profilin e saktë, identitetin e pritur të serverit dhe kredencialet, dhe në një makinë të menaxhuar ai profil mund të bllokohet. OpenConnect mbulon disa protokolle shitës nga një binar, por projekti i tij nuk pretendon mbështetje nga shitësi; Skanimi i hostit, rregullat e ndarjes së tunelit të shtyrë nga porta ose një rrjedhë e veçantë SSO mund të ekzistojnë vetëm në klientin e shitësit.

WireGuard ka të njëjtën formë. Shërbimi furnizon kolegët, klienti furnizon tunelin dhe një profil OpenVPN nuk është një zëvendësim. Një rrudhë macOS: klienti App Store mban tunelet e tij brenda a Network Extension, kështu që wg show nga mjetet Homebrew nuk mund të raportojnë asgjë ndërsa ndërfaqja është e hapur. Verifiko me itineraret dhe trafikun.

Konfiguro, më pas verifiko në një mënyrë fikse

Instaloni një klient dhe një profil dhe mbani një shënim të asaj që keni ndryshuar. Përpara se të lidheni, kapni një vijë bazë në mënyrë që të mund të tregoni se çfarë ndryshon tuneli:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Lidhu me profilin e dhënë dhe përsërit të njëjtat komanda. Për një tunel të plotë, rruga e paracaktuar duhet të tregojë në një ndërfaqe utun; me ndarje të tunelit duhet të drejtohen vetëm prefikset e brendshme dhe dalja juaj publike duhet të duket e pandryshuar. DNS është gjysma që zakonisht mbetet e prishur: scutil --dns liston zgjidhësit sipas radhës që sistemi do t'i përdorë dhe një zgjidhës i brendshëm i ulur poshtë një publiku do të dërgojë emra të brendshëm në serverin e gabuar.

Për një shërbim OpenVPN, Tunnelblick është një klient i arsyeshëm pa kosto dhe udhëzuesi i tij është i drejtpërdrejtë për gjysmën që mungon: ai nuk ofron një shërbim VPN. Klikoni dy herë në .ovpn që ju është dhënë, lëreni Tunnelblick ta instalojë atë dhe kontrolloni versionin kundrejt versionit tuaj macOS përpara se të mbështeteni tek ai.

Për një portë shitësi, unë shpesh testoj me OpenConnect nga linja e komandës:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Mjeti printon certifikatën që ka marrë dhe pret përpara se t'i besojë një zinxhiri të panjohur; kjo kërkesë është një veçori, dhe gozhdimi me --servercert pin-sha256:... është më mirë sesa të pranosh një paralajmërim që nuk e ke lexuar. Ctrl-C prish tunelin, sepse një lidhje e hapur në plan të parë nuk ka ndërprerës vrasësi dhe nuk ka logjikë rilidhjeje. Kjo është e mirë për një seancë diagnostikuese dhe një parazgjedhje e dobët për punën e përditshme.

Kur nuk ka portë për t'u përshtatur

Disa njerëz vijnë me problemin e kundërt: pa operator, pa adresë, pa shërbim. Një aplikacion Mac falas nuk mund të krijojë akses në hyrje në një ruter shtëpiak. Nëse doni rrjetin tuaj nga një hotel, dikush duhet të përdorë një portë në shtëpi, ta mbajë të rregulluar, të publikojë ose të zgjidhë adresën e tij dhe të vendosë se cilat pajisje janë të arritshme.

Nëse dëshironi një dalje tjetër nga interneti dhe jo akses në një rrjet privat, zgjidhni shërbimin përpara klientit. Një listë profili bosh në një klient të pavarur shpesh nuk është një abonim pa pagesë; mund të mos ketë asnjë abonim dhe asnjë server të bashkangjitur. Mbani të ndara edhe kostot: një licencë klienti, një plan shërbimi dhe një portë e vetë-operuar janë tre blerje të ndryshme.

Një Mac pune shton një shtresë politikash. Një aplikacion pa tarifë mund të jetë i gabuar edhe kur lidhet, sepse klienti i miratuar mund të zbatojë kontrollet e pajisjes ose një rrjedhë vërtetimi që alternativa i mungon. Kërkoni një alternativë të miratuar në vend që të kopjoni kredencialet midis aplikacioneve të palidhura dhe mos e trajtoni çaktivizimin e mbrojtjeve të platformës si një rregullim përputhshmërie.

Një shikues në telekomandë është gjithashtu një produkt i ndryshëm. Ju tregon një sesion në një kompjuter tjetër; ai nuk u jep aplikacioneve tuaja lokale Mac shtegun e rrjetit që ofron një tunel.

Një listë kontrolli e shkurtër përpara seancës së parë reale

Emërtoni me shkrim familjen e portës dhe mënyrën e aksesit, instaloni vetëm klientin që përputhet me to dhe regjistroni profilin që keni përdorur. Më pas konfirmoni tre gjëra me trafikun real: rrugët e instaluara të tunelit, renditjen e zgjidhësit dhe një aplikacion të brendshëm që arrihet me emër dhe jo me IP.

Nëse diçka dështon, ndryshoni një variabël në të njëjtën kohë: klienti, profili, rrjedha e autoritetit. Një portal që ngarkon ndërsa tuneli refuzon të fillojë ndan një problem të serverit në internet nga ai i përputhshmërisë me klientin. Pasi shërbimi i punës të përgjigjet dhe rruga publike të sillet siç pritej, ju keni një marrëveshje të emërtuar dhe të mbështetur në vend të një grumbulli supozimesh.