Paano Pumili ng Mac VPN Client para sa Gateway na Mayroon Ka Na

Lumalabas ang anim na Mac VPN sa isang pahina ng pag-download at wala sa mga ito ang nagsasabi kung alin ang tatanggapin ng gateway ng iyong employer. Iyan ay hindi isang puwang sa tindahan; ito ay isang puwang sa handoff. Ang SSL VPN ay isang pamilya ng produkto, hindi isang protocol, kaya maaaring mangailangan ng magkaibang kliyente ang dalawang gateway na may magkaparehong login screen. Narito ang order na ginagamit ko kapag may nagbigay sa akin ng Mac at isang address ng server: itatag kung ano ang sinasalita ng gateway, piliin ang kliyente na tumutugma dito, pagkatapos ay i-verify ang mga ruta at DNS bago mo pagkatiwalaan ang tunnel sa trabaho.

Magsimula sa gateway, hindi sa app store

Gumagana ang app sa iyong Mac, ngunit may iba pang kailangang tanggapin ang koneksyon at magbigay ng access: isang gateway na may operator, isang address, mga katugmang setting at isang paraan upang pahintulutan ka. Ang isang libreng kliyente ay maaaring maging mahusay na software at hindi pa rin nagbibigay ng alinman sa mga bagay na iyon. Ang pag-access sa trabaho, isang gateway sa bahay at isang komersyal na paglabas sa internet ay tatlong magkakaibang mga panimulang punto na nangyayari sa pagbabahagi ng isang pahina ng pag-download.

Bago i-install o palitan ang anuman, kumuha ng apat na sagot mula sa sinumang nagpapatakbo ng serbisyo:

• Access mode: portal ng browser, napiling access sa application o isang buong network tunnel. Ito ang magpapasya kung kailangan mo ng kliyente.

• Pamilya ng Gateway at sinusuportahang release: ang produkto, ang pinaganang serbisyo at isang bersyon ng kliyente na sumusuporta pa rin sa iyong macOS build at Mac hardware.

• Pagpapatunay: password plus MFA, browser sign-in, device certificate o posture check. Ang isang kliyente na kulang sa naaprubahang daloy ay kumonekta at pagkatapos ay tatanggihan.

• Pagmamay-ari: ang pinagkakatiwalaang pag-download o pinagmulan ng pamamahala, ang nilalayong profile at kung sino ang sumusuporta dito kapag nasira ito.

Ang pagmamay-ari ay ang bagay na nilalaktawan ng mga tao. Sa isang pinamamahalaang Mac ang profile ay madalas na dumarating sa pamamagitan ng sistema ng pamamahala ng organisasyon, at isang hand-built na configuration ay maaaring palitan sa susunod na check-in. Tanungin kung ikaw ay inaasahang mag-install ng kahit ano sa iyong sarili bago ka maghanap ng isang third-party na app.

Ang SSL VPN ay isang label ng pamilya, hindi isang protocol

Maaaring protektahan ng TLS ang isang koneksyon habang ang isang palitan na partikular sa produkto sa loob nito ang humahawak sa pag-login, paglalaan ng session at trapiko ng tunnel. Ang panloob na palitan na iyon ang dapat ipatupad ng isang kliyente. Ang isang browser na umaabot sa gateway HTTPS login page ay nagpapatunay sa chain ng certificate at sa web server; hindi nito pinatutunayan na ang isang hindi nauugnay na VPN na app ay maaaring bumuo ng tunnel sa parehong makina.

Ang OpenConnect ang pinakamalinaw na ilustrasyon na alam ko. Nito upstream na dokumentasyon naglilista ng hiwalay na mga mode ng protocol para sa iba't ibang pamilya ng gateway at naghihiwalay sa interoperability mula sa opisyal na suporta sa vendor. Kung ang bawat SSL VPN ay nagsasalita ng isang protocol, ang mga mode na iyon ay hindi na kailangan.

Ang isang OpenVPN na profile ay may parehong limitasyon sa kabilang banda: ito ay isang format ng pag-import para sa isang OpenVPN-compatible deployment. Ang pagbabahagi ng TLS bilang isang building block ay hindi ito ginagawang configuration file para sa isang arbitrary enterprise gateway. Iyon ang dahilan kung bakit false positive ang isang gumaganang pag-login sa browser: maaaring magtagumpay ang portal access habang walang tunnel, at ang isang tunnel na lalabas ay maaari pa ring tanggihan ng posture check sa ibang pagkakataon.

Itugma ang kliyente sa sinasabi ng gateway

Kapag nakilala ang pamilya, mabilis na lumiliit ang pagpili. Ito ang pagmamapa na aking unang tinitingnan, at ang huling column ay mas mahalaga kaysa sa anumang rating ng app.

Dalawang hanay ang nararapat sa babala. Ang built-in na macOS na kliyente ay isang tunay na IKEv2 na pagpapatupad, hindi isang generic na SSL VPN na kliyente: ang isang serbisyong idinisenyo para dito ay nangangailangan ng tamang profile, inaasahang pagkakakilanlan ng server at mga kredensyal, at sa isang pinamamahalaang makina ang profile na iyon ay maaaring ma-lock down. Sinasaklaw ng OpenConnect ang ilang protocol ng vendor mula sa isang binary, ngunit hindi inaangkin ng sarili nitong proyekto ang suporta sa vendor; host scanning, gateway-push split-tunnel na mga panuntunan o isang partikular na SSO na daloy ay maaari lang umiral sa vendor client.

Ang WireGuard ay may parehong hugis. Ang serbisyo ay nagbibigay ng mga kapantay, ang kliyente ay nagsusuplay ng tunnel, at isang OpenVPN na profile ay hindi kapalit. Isang macOS kulubot: pinapanatili ng kliyenteng App Store ang mga lagusan nito sa loob isang Network Extension, kaya ang wg show mula sa Homebrew na mga tool ay walang maiuulat habang nakataas ang interface. I-verify na lang gamit ang mga ruta at trapiko.

I-configure, pagkatapos ay i-verify sa isang nakapirming pagkakasunud-sunod

Mag-install ng isang kliyente at isang profile, at itala kung ano ang iyong binago. Bago kumonekta, kumuha ng baseline para malaman mo kung ano ang binago ng tunnel:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Kumonekta sa ibinigay na profile at ulitin ang parehong mga utos. Para sa isang buong tunnel ang default na ruta ay dapat tumuro sa isang utun interface; na may split tunneling lamang ang mga panloob na prefix ay dapat na iruruta at ang iyong pampublikong labasan ay dapat magmukhang hindi nagbabago. Ang DNS ay ang kalahati na karaniwang nananatiling sira: scutil --inilista ng dns ang mga solver sa pagkakasunud-sunod na gagamitin ng system ang mga ito, at ang isang internal na solver na nakaupo sa ibaba ng pampublikong isa ay magpapadala ng mga internal na pangalan sa maling server.

Para sa isang OpenVPN na serbisyo, ang Tunnelblick ay isang makatwirang walang bayad na kliyente, at ang sarili nitong gabay ay direktang tungkol sa nawawalang kalahati: hindi ito nagbibigay ng serbisyong VPN. I-double click ang .ovpn na ibinigay sa iyo, hayaang Tunnelblick i-install ito, at suriin ang release laban sa iyong macOS na bersyon bago ka umasa dito.

Para sa isang vendor gateway madalas kong subukan sa OpenConnect mula sa command line:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Ang tool ay nagpi-print ng sertipiko na natanggap nito at naghihintay bago magtiwala sa isang hindi kilalang chain; ang prompt na iyon ay isang tampok, at ang pag-pin gamit ang --servercert pin-sha256:... ay mas mahusay kaysa sa pagtanggap ng babala na hindi mo binasa. Ctrl-C napupunit ang tunnel, dahil ang foreground openconnect ay walang kill switch at walang reconnect logic. Mainam iyon para sa isang diagnostic session at isang mahinang default para sa pang-araw-araw na trabaho.

Kapag walang gateway na tugma

Dumating ang ilang tao na may kabaligtaran na problema: walang operator, walang address, walang serbisyo. Ang isang libreng Mac app ay hindi makakalikha ng inbound reachability sa isang home router. Kung gusto mo ang iyong sariling network mula sa isang hotel, kailangang may magpatakbo ng gateway sa bahay, panatilihin itong naka-patch, i-publish o lutasin ang address nito at magpasya kung aling mga device ang maaabot.

Kung gusto mo ng ibang internet exit sa halip na access sa isang pribadong network, piliin ang serbisyo bago ang kliyente. Ang isang walang laman na listahan ng profile sa isang standalone na kliyente ay kadalasang hindi isang sirang libreng subscription; maaaring walang subscription at walang server na naka-attach. Paghiwalayin din ang mga gastos: ang isang lisensya ng kliyente, isang plano ng serbisyo at isang self-operated na gateway ay tatlong magkakaibang mga pagbili.

Ang isang work Mac ay nagdaragdag ng isang layer ng patakaran. Maaaring mali ang isang app na walang bayad kahit na kumonekta ito, dahil maaaring ipatupad ng naaprubahang kliyente ang mga pagsusuri sa device o isang daloy ng pagpapatotoo na kulang sa alternatibo. Humingi ng aprubadong alternatibo sa halip na kopyahin ang mga kredensyal sa pagitan ng mga hindi nauugnay na app, at huwag ituring ang hindi pagpapagana ng mga proteksyon sa platform bilang isang pag-aayos sa compatibility.

Ang remote-desktop viewer ay ibang produkto din. Ito ay nagpapakita sa iyo ng isang session sa isa pang computer; hindi nito binibigyan ang iyong Mac ng mga lokal na application ng network path na ibinibigay ng isang tunnel.

Isang maikling checklist bago ang unang totoong session

Pangalanan ang pamilya ng gateway at ang access mode nang nakasulat, i-install lamang ang kliyente na tumutugma sa kanila, at itala ang profile na iyong ginamit. Pagkatapos ay kumpirmahin ang tatlong bagay na may totoong trapiko: ang mga rutang na-install ng tunnel, ang pagkakasunud-sunod ng solver, at isang panloob na aplikasyon na naabot ng pangalan sa halip na sa pamamagitan ng IP.

Kung may mabibigo, baguhin ang isang variable sa isang pagkakataon: client, profile, auth flow. Ang isang portal na naglo-load habang ang tunnel ay tumatangging magsimula ang naghihiwalay sa isang problema sa web-server mula sa isang problema sa pagiging tugma ng kliyente. Sa sandaling sumagot ang serbisyo sa trabaho at kumilos ang pampublikong landas tulad ng inaasahan, mayroon kang pinangalanan, sinusuportahang kaayusan sa halip na isang tumpok ng mga hula.