Jinsi ya Kuchagua Mteja wa Mac VPN kwa Lango Ambalo Tayari Unalo

Programu sita za Mac VPN huonekana kwenye ukurasa wa upakuaji na hakuna hata mmoja wao anayesema ni lango lipi la mwajiri wako atakubali. Hilo si pengo dukani; ni pengo katika handoff. SSL VPN ni familia ya bidhaa, si itifaki, kwa hivyo lango mbili zilizo na skrini zinazofanana za kuingia zinaweza kuhitaji wateja tofauti. Hili ndilo agizo ninalotumia mtu anaponipa Mac na anwani ya seva: tambua lango linazungumza nini, chagua mteja anayelingana nalo, kisha uthibitishe njia na DNS kabla ya kuamini njia ya kufanya kazi.

Anza na lango, sio duka la programu

Programu inaendeshwa kwenye Mac yako, lakini kitu kingine kinapaswa kukubali muunganisho na kutoa ufikiaji: lango na opereta, anwani, mipangilio inayolingana na njia ya kukuidhinisha. Mteja wa bure anaweza kuwa programu nzuri na bado hatoi yoyote ya vitu hivyo. Ufikiaji wa kazi, lango la nyumbani na njia ya kutoka ya mtandao wa kibiashara ni sehemu tatu tofauti za kuanzia ambazo hutokea kushiriki ukurasa wa upakuaji.

Kabla ya kusakinisha au kubadilisha kitu chochote, pata majibu manne kutoka kwa yeyote anayeendesha huduma:

• Njia ya ufikiaji: lango la kivinjari, ufikiaji uliochaguliwa wa programu au njia kamili ya mtandao. Hii huamua kama unahitaji mteja hata kidogo.

• Familia ya lango na toleo linaloungwa mkono: bidhaa, huduma iliyowezeshwa na toleo la mteja ambalo bado linaauni muundo wako wa macOS na maunzi ya Mac.

• Uthibitishaji: nenosiri pamoja na MFA, kuingia kwa kivinjari, cheti cha kifaa au kuangalia mkao. Mteja ambaye hana mtiririko ulioidhinishwa ataunganishwa na kisha kukataliwa.

• Umiliki: chanzo kinachoaminika cha upakuaji au usimamizi, wasifu unaokusudiwa na ni nani anayeutumia wakati unakatika.

Umiliki ni kitu ambacho watu huruka. Kwenye Mac inayosimamiwa wasifu mara nyingi hufika kupitia mfumo wa usimamizi wa shirika, na usanidi ulioundwa kwa mkono unaweza kubadilishwa wakati wa kuingia tena. Uliza ikiwa unatarajiwa kujisakinisha chochote kabla ya kutafuta programu ya wahusika wengine.

SSL VPN ni lebo ya familia, si itifaki

TLS inaweza kulinda muunganisho huku ubadilishanaji wa bidhaa mahususi ndani yake unashughulikia kuingia, ugawaji wa kipindi na trafiki ya njiani. Ubadilishanaji huo wa ndani ndio mteja anapaswa kutekeleza. Kivinjari kinachofika langoni HTTPS ukurasa wa kuingia huthibitisha msururu wa cheti na seva ya wavuti; haithibitishi kuwa programu isiyohusiana ya VPN inaweza kuunda handaki kwa mashine sawa.

OpenConnect ndicho kielelezo wazi zaidi ninachokijua. Yake nyaraka za juu huorodhesha hali tofauti za itifaki kwa familia tofauti za lango na hutenganisha ushirikiano kutoka kwa usaidizi rasmi wa wauzaji. Ikiwa kila SSL VPN alizungumza itifaki moja, njia hizo hazitakuwa za lazima.

Wasifu wa OpenVPN una kikomo sawa kwa njia nyingine: ni umbizo la kuleta kwa OpenVPN-utumaji patanifu. Kushiriki TLS kama kiwanja hakubadilishi kuwa faili ya usanidi kwa lango la kiholela la biashara. Ndio maana kuingia kwa kivinjari kinachofanya kazi ni chanya ya uwongo: ufikiaji wa lango unaweza kufaulu wakati hakuna handaki, na handaki inayokuja bado inaweza kukataliwa na ukaguzi wa mkao baadaye.

Linganisha mteja na kile lango linazungumza

Mara tu familia inapojulikana, chaguo hupungua haraka. Huu ndio upangaji ramani ninaoangalia kwanza, na safu wima ya mwisho ni muhimu zaidi kuliko ukadiriaji wowote wa programu.

Safu mbili zinastahili onyo. Mteja aliyejengewa ndani macOS ni utekelezaji halisi wa IKEv2, si mteja wa jumla SSL VPN: huduma iliyoundwa kwa ajili yake inahitaji wasifu sahihi, utambulisho wa seva na vitambulisho vinavyotarajiwa, na kwenye mashine inayosimamiwa wasifu huo unaweza kufungwa. OpenConnect inashughulikia itifaki kadhaa za wauzaji kutoka kwa mfumo mmoja wa jozi, lakini mradi wake wenyewe haudai usaidizi wa muuzaji; utafutaji wa seva pangishi, sheria za mgawanyiko wa lango au mtiririko fulani wa SSO unaweza kuwepo kwa mteja wa muuzaji pekee.

WireGuard ina umbo sawa. Huduma hutoa wenzao, mteja hutoa handaki, na wasifu wa OpenVPN sio mbadala. Mkunjo mmoja macOS: mteja wa App Store huweka vichuguu vyake ndani Network Extension, ili wg show kutoka kwa zana za Homebrew haziwezi kuripoti chochote kiolesura kikiwa kimesimama. Thibitisha kwa kutumia njia na trafiki badala yake.

Sanidi, kisha uthibitishe kwa mpangilio maalum

Sakinisha mteja mmoja na wasifu mmoja, na uweke kumbukumbu ya ulichobadilisha. Kabla ya kuunganisha, piga picha ya msingi ili uweze kujua ni nini handaki inabadilisha:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Unganisha na wasifu uliotolewa na kurudia amri sawa. Kwa handaki kamili njia chaguo-msingi inapaswa kuelekeza kiolesura cha utun; kwa kugawanyika kwa tunnel, viambishi awali vya ndani pekee ndivyo vinavyopaswa kuelekezwa na kutoka kwako kwa umma kunapaswa kuonekana bila kubadilika. DNS ndio nusu ambayo kwa kawaida hukaa ikiwa imevunjwa: scutil --dns huorodhesha visuluhishi kwa mpangilio ambao mfumo utavitumia, na kisuluhishi cha ndani kilicho chini ya cha umma kitatuma majina ya ndani kwa seva isiyo sahihi.

Kwa huduma ya OpenVPN, Tunnelblick ni mteja wa kuridhisha usio na gharama, na mwongozo wake ni wa moja kwa moja kuhusu nusu inayokosekana: haitoi huduma ya VPN. Bofya mara mbili .ovpn uliyopewa, acha Tunnelblick aisakinishe, na angalia toleo dhidi ya toleo lako la macOS kabla ya kulitegemea.

Kwa lango la muuzaji mimi hujaribu mara nyingi na OpenConnect kutoka kwa safu ya amri:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Zana huchapisha cheti kilichopokea na kusubiri kabla ya kuamini msururu usiojulikana; Kidokezo hicho ni kipengele, na kubandika --servercert pin-sha256:... ni bora kuliko kukubali onyo ambalo hukusoma. Ctrl-C hubomoa handaki chini, kwa sababu kiunganishi cha mbele hakina swichi ya kuua na hakina mantiki ya kuunganisha tena. Hiyo ni sawa kwa kikao cha uchunguzi na chaguo-msingi duni kwa kazi ya kila siku.

Wakati hakuna lango la kufanana

Baadhi ya watu kufika na tatizo kinyume: hakuna operator, hakuna anwani, hakuna huduma. Programu ya Mac isiyolipishwa haiwezi kuunda ufikiaji wa ndani kwenye kipanga njia cha nyumbani. Ikiwa unataka mtandao wako mwenyewe kutoka kwa hoteli, lazima mtu aendeshe lango nyumbani, liweke viraka, kuchapisha au kutatua anwani yake na kuamua ni vifaa vipi vinavyofikiwa.

Ikiwa unataka kutoka kwa mtandao tofauti badala ya kufikia mtandao wa kibinafsi, chagua huduma kabla ya mteja. Orodha tupu ya wasifu katika mteja wa pekee mara nyingi sio usajili wa bure uliovunjika; kunaweza kuwa hakuna usajili na hakuna seva iliyoambatishwa. Weka gharama kando pia: leseni ya mteja, mpango wa huduma na lango linalojiendesha yenyewe ni ununuzi tatu tofauti.

Mac ya kazi inaongeza safu ya sera. Programu isiyolipishwa inaweza kuwa na makosa hata inapounganishwa, kwa sababu mteja aliyeidhinishwa anaweza kutekeleza ukaguzi wa kifaa au mtiririko wa uthibitishaji ambao njia mbadala inakosa. Omba njia mbadala iliyoidhinishwa badala ya kunakili vitambulisho kati ya programu zisizohusiana, na usichukulie hatua ya kuzima ulinzi wa mfumo kama suluhu la uoanifu.

Kitazamaji cha eneo-kazi la mbali ni bidhaa tofauti pia. Inakuonyesha kipindi kwenye kompyuta nyingine; haitoi programu zako za ndani za Mac njia ya mtandao ambayo handaki hutoa.

Orodha fupi ya ukaguzi kabla ya kipindi halisi cha kwanza

Taja familia ya lango na hali ya ufikiaji kwa maandishi, sakinisha tu kiteja kinacholingana nazo, na urekodi wasifu uliotumia. Kisha thibitisha mambo matatu ukitumia trafiki halisi: njia ambazo handaki imesakinishwa, mpangilio wa kisuluhishi, na programu moja ya ndani iliyofikiwa kwa jina badala ya IP.

Ikiwa kitu kitashindwa, badilisha kigezo kimoja kwa wakati mmoja: mteja, wasifu, mtiririko wa maandishi. Lango linalopakia huku handaki ikikataa kuanza hutenganisha tatizo la seva ya wavuti kutoka kwa uoanifu wa mteja. Mara tu huduma ya kazini inapojibu na njia ya umma kufanya kama inavyotarajiwa, una mpangilio uliopewa jina, unaoungwa mkono badala ya rundo la kubahatisha.