Како одабрати Mac VPN клијента за мрежни пролаз који већ имате

Шест Mac VPN апликација се појављује на страници за преузимање и ниједна од њих не каже коју ће мрежни пролаз вашег послодавца прихватити. То није празнина у продавници; то је јаз у примопредаји. SSL VPN је породица производа, а не протокол, тако да два мрежна пролаза са идентичним екранима за пријаву могу захтевати различите клијенте. Ево редоследа који користим када ми неко преда Mac и адресу сервера: установите шта гејтвеј говори, изаберите клијента који му одговара, затим проверите руте и DNS пре него што верујете тунелу да ради.

Почните са мрежним пролазом, а не са продавницом апликација

Апликација ради на вашем Mac-у, али нешто друго мора да прихвати везу и одобри приступ: мрежни пролаз са оператером, адреса, компатибилна подешавања и начин да вас овласти. Бесплатни клијент може бити добар софтвер и још увек не нуди ништа од тога. Приступ са посла, кућни пролаз и комерцијални интернет излаз су три различите почетне тачке које деле страницу за преузимање.

Пре него што инсталирате или замените било шта, добијте четири одговора од онога ко води услугу:

• Режим приступа: портал претраживача, приступ одабраној апликацији или цео мрежни тунел. Ово одлучује да ли вам је клијент уопште потребан.

• Породица мрежног пролаза и подржано издање: производ, омогућену услугу и клијентску верзију која још увек подржава вашу macOS верзију и Mac хардвер.

• Аутентификација: лозинка плус MFA, пријављивање у прегледач, сертификат уређаја или провера држања. Клијент коме недостаје одобрени ток ће се повезати, а затим ће бити одбијен.

• власништво: поуздани извор преузимања или управљања, намеравани профил и ко га подржава када се поквари.

Власништво је ставка коју људи прескачу. На управљаном Mac-у профил често стиже преко система управљања организацијом, а ручно направљена конфигурација може бити замењена приликом следећег пријављивања. Питајте да ли се од вас очекује да сами инсталирате било шта пре него што кренете да тражите апликацију треће стране.

SSL VPN је ознака породице, а не протокол

TLS може заштитити везу док размена специфична за производ унутар ње управља пријављивањем, додељивањем сесије и тунелским саобраћајем. Та унутрашња размена је оно што клијент мора да примени. Претраживач који стиже до странице за пријаву HTTPS до пролаза доказује ланац сертификата и веб сервер; не доказује да неповезана апликација VPN може да изгради тунел до исте машине.

OpenConnect је најјаснија илустрација коју знам. Његово узводну документацију наводи посебне режиме протокола за различите породице мрежних пролаза и одваја интероперабилност од службене подршке добављача. Када би сваки SSL VPN говорио једним протоколом, ти режими би били непотребни.

Профил OpenVPN има исто ограничење и обрнуто: то је формат увоза за OpenVPN-компатибилну примену. Дељење TLS као градивног блока не претвара га у конфигурациону датотеку за произвољни мрежни пролаз предузећа. Због тога је пријава у претраживач лажно позитивна: приступ порталу може успети док тунел не постоји, а тунел који се појави може и даље бити одбијен накнадном провером положаја.

Ускладите клијента са оним што мрежни пролаз говори

Када се сазна породица, избор се брзо сужава. Ово је мапирање које прво проверавам, а последња колона је важнија од било које оцене апликације.

Два реда заслужују упозорење. Уграђени macOS клијент је права IKEv2 имплементација, а не генерички SSL VPN клијент: услуга дизајнирана за њега треба исправан профил, очекивани идентитет сервера и акредитиве, а на управљаној машини тај профил може бити закључан. OpenConnect покрива неколико протокола добављача из једне бинарне датотеке, али сопствени пројекат не захтева подршку добављача; скенирање хоста, правила сплит-туннел-пусхед гејтвеја или одређени ток SSO могу постојати само у клијенту добављача.

WireGuard има исти облик. Услуга снабдева равноправне кориснике, клијент снабдева тунел, а OpenVPN профил није замена. Једна macOS бора: App Store клијент држи своје тунеле унутра а Network Extension, тако да wg show из Homebrew алата не може ништа да пријави док је интерфејс отворен. Уместо тога проверите руте и саобраћај.

Конфигуришите, а затим проверите фиксним редоследом

Инсталирајте једног клијента и један профил и забележите шта сте променили. Пре повезивања, снимите основну линију да бисте могли да видите шта тунел мења:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Повежите се са испорученим профилом и поновите исте команде. За пун тунел подразумевана рута треба да указује на utun интерфејс; са подељеним тунелирањем само интерни префикси треба да буду рутирани и ваш јавни излаз би требало да изгледа непромењено. DNS је половина која обично остаје покварена: scutil --днс наводи резолвере оним редоследом којим ће их систем користити, а интерни разрешивач који се налази испод јавног ће послати интерна имена погрешном серверу.

За услугу OpenVPN, Tunnelblick је разуман клијент без трошкова, а његов сопствени водич је директан у вези са половином која недостаје: не пружа услугу VPN. Двапут кликните на .ovpn који сте добили, пустите Tunnelblick да га инсталира и проверите издање у односу на вашу macOS верзију пре него што се ослоните на њу.

За мрежни пролаз добављача често тестирам са OpenConnect из командне линије:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Алат штампа сертификат који је примио и чека пре него што верује непознатом ланцу; тај промпт је карактеристика, а закачивање са --серверцерт pin-sha256:... је боље од прихватања упозорења које нисте прочитали. Ctrl-C руши тунел, јер опенцоннецт у предњем плану нема прекидач за заустављање и логику поновног повезивања. То је у реду за дијагностичку сесију и лоше подразумевано за свакодневни рад.

Када нема мрежног пролаза за подударање

Неки људи долазе са супротним проблемом: нема оператера, нема адресе, нема услуге. Бесплатна Mac апликација не може да створи долазну доступност на кућном рутеру. Ако желите сопствену мрежу из хотела, неко мора да покрене мрежни пролаз код куће, да га држи закрпљеним, објави или разреши његову адресу и одлучи који уређаји су доступни.

Ако желите другачији излаз на Интернет, а не приступ приватној мрежи, изаберите услугу пре клијента. Празна листа профила у самосталном клијенту често није покварена бесплатна претплата; можда нема претплате и сервера. Такође раздвојите трошкове: клијентска лиценца, план услуга и мрежни пролаз са сопственим управљањем су три различите куповине.

Пословни Mac додаје слој политике. Апликација која се не наплаћује може бити погрешна чак и када се повеже, јер одобрени клијент може да наметне провере уређаја или ток аутентификације који алтернатива недостаје. Затражите одобрену алтернативу уместо копирања акредитива између неповезаних апликација и не третирајте онемогућавање заштите платформе као исправку компатибилности.

Прегледач са удаљене радне површине је такође другачији производ. Показује вам сесију на другом рачунару; не даје вашим Mac локалним апликацијама мрежну путању коју пружа тунел.

Кратка контролна листа пре прве праве сесије

Именујте породицу мрежних пролаза и начин приступа у писаном облику, инсталирајте само клијента који им одговара и забележите профил који сте користили. Затим потврдите три ствари стварним саобраћајем: руте које је тунел инсталирао, редослед разрешивача и једну интерну апликацију до које се долази по имену, а не по ИП-у.

Ако нешто не успе, мењајте једну по једну променљиву: клијент, профил, аутх ток. Портал који се учитава док тунел одбија да се покрене раздваја проблем веб сервера од проблема компатибилности клијента. Када служба за рад одговори и јавни пут се понаша како се очекује, имате именовани подржани аранжман уместо гомиле нагађања.