การตั้งค่า VPN บน Mac ไม่ได้เริ่มเซิร์ฟเวอร์: เกตเวย์อยู่ที่ไหน

งานสองอย่างที่แตกต่างกันใช้ชื่อ VPN ใน macOS และแผงการตั้งค่าจัดการเพียงอย่างเดียว หากคุณต้องการให้ทราฟฟิกของ Mac เครื่องนี้ออกผ่านผู้ให้บริการหรือเกตเวย์ระยะไกล รายการไคลเอนต์ก็เพียงพอ หากคุณต้องการเข้าถึงเครื่องพิมพ์ NAS หรือหน้าแอดมินบนเครือข่ายบ้านจากห้องโรงแรม มีบางอย่างบนเครือข่ายนั้นต้องรับการเชื่อมต่อจากภายนอก และ Mac รุ่นปัจจุบันไม่ใช่สิ่งนั้นโดยค่าเริ่มต้น คำถามสามข้อตัดสินว่าคุณอยู่ในกรณีใด และควรตอบคำถามเหล่านั้นก่อนพิมพ์ที่อยู่ในช่อง

รายการไคลเอนต์ระบุปลายทาง ไม่ใช่ตัวรับฟัง

ใน การตั้งค่าระบบ > เครือข่าย > VPN บน macOS Ventura และใหม่กว่า ช่องที่เวอร์ชันเก่าเก็บไว้ใต้การตั้งค่าเครือข่ายอธิบายวิธีเข้าถึงปลายทางของผู้อื่น: ที่อยู่เซิร์ฟเวอร์ ID ระยะไกล บัญชีหรือใบรับรอง และกฎการเชื่อมต่อตามคำขอที่เป็นทางเลือก การบันทึกรายการนั้นเก็บการเชื่อมต่อไว้ในการกำหนดค่าเครือข่ายของ Mac คุณ ไม่มีสิ่งใดในกระบวนการผูกพอร์ต เปิดตัวรับฟัง หรือลงทะเบียนผู้ใช้ระยะไกล

คุณตรวจสอบได้จากเชลล์ บน Mac ที่คุณสงสัยว่ากำลังให้บริการ ให้รัน sudo lsof -nP -iUDP และมองหาพอร์ตที่โปรโตคอลของคุณใช้: 500 และ 4500 สำหรับ IKEv2, 1194 สำหรับค่าเริ่มต้นของ OpenVPN, 51820 สำหรับ WireGuard เครื่องที่เป็นไคลเอนต์อย่างเดียวจะแสดงซ็อกเก็ตที่จับคู่กับที่อยู่และพอร์ตระยะไกล ไม่ใช่การผูกไวลด์การ์ดที่สิ่งใดบนอินเทอร์เน็ตเข้าถึงได้ อุโมงค์ที่ทำงานภายใน Network Extension อาจซ่อนจาก lsof ได้ ดังนั้นให้ตรวจสอบแผงสถานะของแอปด้วย ไม่ว่าอย่างไร สิ่งที่คุณจะไม่พบคือการตั้งค่า Apple ที่เปลี่ยน Mac เครื่องนี้ให้เป็นเกตเวย์

คำถามสามข้อแยกสองบทบาท

ทำตามลำดับ ข้อแรกมักตัดสินข้อที่เหลือ และข้อที่สามคือจุดที่การวางแผนเฉพาะ Mac พลาดมากที่สุด

1. ใครเริ่มบทสนทนา หาก Mac ของคุณโทรออกและอีกฝ่ายตอบ คุณต้องมีไคลเอนต์ หากอุปกรณ์บนอินเทอร์เน็ตต้องโทรเข้ามาเพื่อเข้าถึงเครือข่ายของคุณ คุณต้องมีเกตเวย์ที่มีจุดเข้าแบบสาธารณะ และ Mac สามารถเป็นไคลเอนต์ของเกตเวย์นั้นต่อไปได้

2. อะไรต้องเข้าถึงได้ขณะอุโมงค์เปิดอยู่ บริการเดียวบนโฮสต์เดียวคือการตัดสินใจเรื่องการส่งต่อพอร์ต เครือข่ายย่อยทั้งหมดรวมถึงการแก้ชื่อคือการตัดสินใจเรื่องการกำหนดเส้นทางและ DNS และมันเปลี่ยนสิ่งที่เกตเวย์ต้องส่งต่อ ไม่ใช่สิ่งที่รายการไคลเอนต์บอก

3. ระบบปฏิบัติการรุ่นใดรันฝั่งที่รับ สำหรับ Mac คำถามนั้นมีคำตอบที่ชัดเจน Apple ระบุว่า VPN ถูกนำออกจาก macOS Server 5.7.1 และแอป macOS Server เองถูกยกเลิกเมื่อวันที่ 21 เมษายน 2022 ประกาศประวัติบริการ คือหน้าที่ควรอ่านเมื่อบทเรียนเก่าพาคุณผ่านช่องทำเครื่องหมายบริการ VPN ที่ไม่มีอยู่แล้ว

เมื่อคำตอบแรกคือ “คนภายนอกเริ่ม” ให้เลิกมองหาสวิตช์ในแผงไคลเอนต์ของ Mac แล้วไปเลือกโฮสต์ที่จะสิ้นสุดอุโมงค์

เกตเวย์สามารถอยู่ที่อื่นได้

การจัดวางสี่แบบครอบคลุมกรณีบ้านและสำนักงานเล็กส่วนใหญ่ เราเตอร์ที่มีโหมดเซิร์ฟเวอร์จริง ซึ่งต่างจากโหมดไคลเอนต์ที่ติดป้ายอื่น สิ้นสุดอุโมงค์ที่ขอบและรักษาจำนวนโฮสต์ให้ต่ำ โดยมีราคาคือผูกกับการสนับสนุนโปรโตคอลของเฟิร์มแวร์นั้น NAS หรือมินิพีซีที่เปิดตลอดเวลารันแพ็กเกจเซิร์ฟเวอร์ของผู้ผลิตและทิ้งบันทึกที่คุณอ่านได้ คลาวด์ VM ขนาดเล็กให้ที่อยู่สาธารณะที่คุณควบคุมและเข้าถึงบ้านผ่านอุโมงค์ที่สอง เลเยอร์ mesh ที่สร้างบน WireGuard หรือบริการที่มีผู้ดูแลซึ่งส่งต่อระหว่างเพียร์ หลีกเลี่ยงการส่งต่อพอร์ตขาเข้าโดยให้ทั้งสองฝั่งโทรออก

ขอบเขตระหว่างตัวเลือกเหล่านั้นมักเป็นการเชื่อมต่ออินเทอร์เน็ตของคุณ ไม่ใช่ซอฟต์แวร์ หาก ISP วางคุณไว้หลัง NAT ระดับผู้ให้บริการ การส่งต่อพอร์ตบนเราเตอร์ไม่ว่ามากเพียงใดก็ไม่สร้างจุดเข้าที่เข้าถึงได้ และการจัดวางแบบรีเลย์หรือ mesh คือคำตอบที่ซื่อสัตย์ เปรียบเทียบที่อยู่ WAN ที่เราเตอร์ของคุณรายงานกับที่อยู่ที่โลกภายนอกเห็น หากแตกต่างกันและค่าของเราเตอร์อยู่ในช่วงส่วนตัวหรือใช้ร่วมกัน ให้วางแผนสำหรับกรณีรีเลย์

ไม่ว่าคุณจะเลือกโฮสต์ใด ให้ส่งต่อโปรโตคอลเดียวบนพอร์ตเดียวแทนช่วง และเก็บ Mac ไว้นอกเส้นทางขาเข้า เว้นแต่ผลิตภัณฑ์นั้นจะบันทึกบทบาทเซิร์ฟเวอร์สำหรับ macOS รุ่นที่คุณรัน

ยืนยันบทบาทก่อนแจกโปรไฟล์

บนเกตเวย์ที่เป็นตัวเลือก ให้พิสูจน์ว่ามีตัวรับฟังอยู่ แทนที่จะเชื่อว่าตัวติดตั้งสร้างขึ้นมา บน macOS นั่นหมายถึง sudo lsof -nP -iUDP ที่กรองไปยังพอร์ตข้างต้น บวก sudo pfctl -s nat หากกฎตัวกรองแพ็กเก็ตเป็นส่วนหนึ่งของการออกแบบ บน Linux ss -lunp แสดงข้อเท็จจริงเดียวกันโดยไม่กำกวม

จากนั้นทดสอบจากภายนอกเครือข่าย โดยใช้โปรโตคอลเอง Ping พิสูจน์ได้น้อย: ICMP มักถูกกรองและไม่บอกอะไรเกี่ยวกับ UDP 51820 การจับมือของไคลเอนต์พร้อมการบันทึกโดยละเอียด ซึ่งรันจากโทรศัพท์บนข้อมูลมือถือ เป็นการทดสอบจริงที่ถูกที่สุดเพราะผ่านเส้นทางเดียวกับที่เพื่อนร่วมงานระยะไกลจะผ่าน

หลังจากนั้นคุณจึงแตะโปรไฟล์ไคลเอนต์ บน Mac scutil --nc list พิมพ์บริการ VPN ที่ระบบรู้จัก หากเกตเวย์ที่คุณเพิ่งสร้างไม่อยู่ในนั้น คุณกำลังกำหนดค่าเครื่องอื่นที่ไม่ใช่เครื่องที่คุณทดสอบ หากการจับมือสำเร็จบน LAN แต่ล้มเหลวจากภายนอก ความผิดอยู่ในเส้นทางขาเข้า: กฎ NAT, CGNAT ของผู้ให้บริการ หรือไฟร์วอลล์บนเกตเวย์ ตามลำดับนั้น

ก่อนสร้างสิ่งใด ให้ตัดสินสี่จุด:

• ฝ่ายใดเริ่มการเชื่อมต่อ Mac ของคุณหรืออุปกรณ์ระยะไกล
• ระบบปฏิบัติการและผลิตภัณฑ์ของโฮสต์ที่รับรองรับบทบาทเซิร์ฟเวอร์จริงหรือไม่
• ISP ของคุณให้ที่อยู่สาธารณะที่เข้าถึงได้หรือไม่
• เกตเวย์จะรับพอร์ตและโปรโตคอลใดเพียงหนึ่งเดียว และบริการใดเบื้องหลังตอบ

ขั้นตอนถัดไปเป็นรูปธรรม: เลือกโฮสต์เกตเวย์ ยืนยันตัวรับฟังจากภายนอก และจากนั้นเท่านั้น สร้างรายการไคลเอนต์บน Mac ที่ชี้ไปที่มัน.