Mac VPN подешавања не покрећу сервер: где живи пролаз

Два различита посла носе име VPN у macOS-у, а панел подешавања обрађује само један од њих. Ако желите да саобраћај овог Mac-а излази преко провајдера или удаљеног пролаза, довољан је запис клијента. Ако желите из хотелске собе да дођете до штампача, NAS-а или административне странице на кућној мрежи, нешто на тој мрежи мора да прихвата везе споља, а данашњи Mac то није одмах из кутије. Три питања одређују у ком сте случају, и вреди на њих одговорити пре него што у поље упишете адресу.

Запис клијента именује одредиште, а не слушаоца

У Поставкама система > Мрежа > VPN на macOS-у Ventura и новијем, поља која старија издања држе под мрежним поставкама описују како доћи до туђе завршне тачке: адреса сервера, удаљени ID, налог или сертификат и необавезна правила повезивања на захтев. Чувањем тог записа веза се памти у мрежној конфигурацији вашег Mac-а. Ништа у том поступку не везује порт, не отвара слушаоца нити уписује удаљеног корисника.

То можете проверити из љуске. На Mac-у за који сумњате да служи, покрените sudo lsof -nP -iUDP и потражите портове које користи ваш протокол: 500 и 4500 за IKEv2, 1194 за подразумевани OpenVPN, 51820 за WireGuard. Машина која је само клијент показује сокете повезане са удаљеном адресом и портом, а не заменско везивање до којег би ишта на интернету могло да дође. Тунели који раде унутар Network Extension-а могу да се сакрију од lsof-а, зато свакако проверите и таблу стања апликације; оно што нећете наћи је Apple-ова поставка која овај Mac претвара у пролаз.

Три питања раздвајају две улоге

Прођите их редом. Прво обично одлучује остало, а треће је место где већина планирања специфичног за Mac оде наопако.

1. Ко започиње разговор? Ако се ваш Mac јавља напоље и друга страна одговара, потребан вам је клијент. Ако уређаји на интернету морају да се јављају унутра да би дошли до ваше мреже, потребан вам је пролаз са јавном улазном тачком, а Mac може да остане клијент тог пролаза.

2. Шта мора да буде доступно док је тунел подигнут? Једна услуга на једном домаћину је одлука о прослеђивању портова. Цела подмрежа, укључујући разрешавање имена, је одлука о рутирању и DNS-у, и мења оно што пролаз мора да проследи, а не оно што запис клијента каже.

3. Које издање OS-а покреће прихватни крај? За Mac-ове то питање има тврд одговор. Apple наводи да је VPN уклоњен из macOS Server-а 5.7.1, а сама апликација macOS Server укинута је 21. априла 2022; обавештење о историји услуге је страница коју треба читати када вас стари приручник проведе кроз поље за VPN услугу које више не постоји.

Када је први одговор „неко споља започиње“, престаните да тражите прекидач на табли клијента Mac-а и изаберите домаћина који ће завршити тунел.

Где пролаз може да живи уместо тога

Четири распореда покривају већину кућних и малих канцеларијских случајева. Рутер са правим серверским режимом, насупрот клијентском режиму с другом ознаком, завршава тунел на ивици и држи број домаћина ниским, по цену везаности за протоколску подршку тог фирмвера. NAS или мини рачунар који стално ради покреће произвођачев пакет сервера и оставља вам дневнике које можете да читате. Мали облак VM даје вам јавну адресу коју контролишете и долази кући кроз други тунел. Mesh слој изграђен на WireGuard-у, или управљана услуга која преноси између партнера, заобилази улазно прослеђивање портова тако што се оба краја јављају напоље.

Граница између тих опција обично је ваша интернет веза, а не софтвер. Ако вас провајдер стави иза NAT-а на нивоу оператера, никакво прослеђивање портова на рутеру не ствара доступну улазну тачку, и поштен одговор је распоред са релејем или мрежом. Упоредите WAN адресу коју пријављује ваш рутер са адресом коју види спољни свет; ако се разликују и вредност рутера је у приватном или дељеном опсегу, планирајте случај са релејем.

Који год домаћин да изаберете, проследите један протокол на једном порту уместо опсега, и држите Mac изван улазне путање осим ако тај производ документује серверску улогу за издање macOS-а које покрећете.

Потврдите улогу пре него што поделите профиле

На кандидату за пролаз докажите да слушалац постоји уместо да верујете да га је инсталатер направио. На macOS-у то значи sudo lsof -nP -iUDP филтриран на горње портове, плус sudo pfctl -s nat ако су правила филтера пакета део дизајна. На Linux-у ss -lunp показује исте чињенице без двосмислености.

Затим тестирајте изван мреже, користећи сам протокол. Ping доказује мало: ICMP се често филтрира и не говори ништа о UDP 51820. Руковање клијента са детаљним записом, покренуто са телефона на мобилним подацима, најјефтинији је прави тест јер пролази истим путем којим ће проћи и удаљени колега.

Тек након тога дирате клијентске профиле. На Mac-у scutil --nc list исписује VPN услуге које систем познаје; ако пролаз који сте управо изградили није међу њима, конфигуришете други рачунар од оног који сте тестирали. Ако руковање успе на LAN-у, али не успе извана, грешка је на улазној путањи: NAT правило, CGNAT провајдера или заштитни зид на пролазу, тим редом.

Пре него што било шта изградите, решите четири тачке:

• Која страна започиње везу, ваш Mac или удаљени уређај.
• Да ли издање OS-а и производ прихватног домаћина заиста подржавају серверску улогу.
• Да ли вам провајдер уопште даје доступну јавну адресу.
• Који једини порт и протокол пролаз прихвата и која услуга иза њега одговара.

Следећи корак је конкретан: изаберите домаћина пролаза, потврдите његовог слушаоца споља и тек онда направите клијентски запис на Mac-у који показује на њега.