Ang mga setting ng VPN sa Mac ay hindi nagpapatakbo ng server: kung saan nakatira ang gateway

Dalawang magkaibang trabaho ang may pangalang VPN sa macOS, at isa lamang sa kanila ang hinahawakan ng panel ng mga setting. Kung gusto mong lumabas ang trapiko ng Mac na ito sa pamamagitan ng isang provider o malayong gateway, sapat na ang entry ng kliyente. Kung gusto mong maabot ang printer, NAS o pahina ng admin sa iyong home network mula sa isang hotel room, may isang bagay sa network na iyon na dapat tumanggap ng mga koneksyon mula sa labas, at ang kasalukuyang Mac ay hindi iyon kaagad. Tatlong tanong ang nagtatakda kung aling kaso ka naroroon, at sulit sagutin ang mga ito bago ka mag-type ng address sa isang field.

Ang entry ng kliyente ay nagpapangalan ng destinasyon, hindi ng listener

Sa System Settings > Network > VPN sa macOS Ventura at mas bago, inilalarawan ng mga field na inilalagay ng lumang bersyon sa Network preferences kung paano maabot ang endpoint ng ibang tao: address ng server, malayong ID, account o sertipiko, at opsyonal na mga panuntunan ng konekta-sa-hiling. Ang pag-save ng entry na iyon ay nag-iimbak ng koneksyon sa network configuration ng iyong Mac. Wala sa proseso ang nagbibigkis ng port, nagbubukas ng listener o nagpapatala ng malayong user.

Maaari mong suriin ito mula sa shell. Sa isang Mac na pinaghihinalaan mong nagsisilbi, patakbuhin ang sudo lsof -nP -iUDP at hanapin ang mga port na ginagamit ng iyong protocol: 500 at 4500 para sa IKEv2, 1194 para sa default ng OpenVPN, 51820 para sa WireGuard. Ang makina na kliyente lamang ay nagpapakita ng mga socket na ipinares sa malayong address at port, hindi isang wildcard na pagkakabigkis na maaabot ng kahit ano sa internet. Ang mga tunnel na tumatakbo sa loob ng Network Extension ay maaaring magtago mula sa lsof, kaya suriin din ang status panel ng app; ang hindi mo makikita ay isang kagustuhan ng Apple na ginagawang gateway ang Mac na ito.

Tatlong tanong ang naghahati sa dalawang tungkulin

Sundin ang mga ito nang sunud-sunod. Ang una ang karaniwang nagpapasya sa iba, at ang pangatlo ang lugar kung saan pinakamadalas magkamali ang planong partikular sa Mac.

1. Sino ang nagsisimula ng usapan? Kung ang iyong Mac ay tumatawag palabas at sumasagot ang kabilang panig, kailangan mo ng kliyente. Kung kailangang tumawag papasok ng mga device sa internet para maabot ang iyong network, kailangan mo ng gateway na may pampublikong pasukan, at ang Mac ay maaaring manatiling kliyente ng gateway na iyon.

2. Ano ang dapat maabot habang nakataas ang tunnel? Ang isang serbisyo sa isang host ay desisyon sa port forwarding. Ang buong subnet, kasama ang resolusyon ng pangalan, ay desisyon sa routing at DNS, at binabago nito ang dapat ipasa ng gateway, hindi ang sinasabi ng entry ng kliyente.

3. Aling release ng OS ang nagpapatakbo ng tumatanggap na dulo? Para sa mga Mac, may matigas na sagot ang tanong na iyon. Inililista ng Apple ang VPN bilang inalis mula sa macOS Server 5.7.1, at ang app na macOS Server mismo ay itinigil noong Abril 21, 2022; ang abiso ng kasaysayan ng serbisyo ang pahinang dapat basahin kapag may lumang tutorial na dumadaan sa iyo sa isang checkbox ng serbisyong VPN na wala na.

Kapag ang unang sagot ay “may tagalabas na nagsisimula”, tigilan ang paghahanap ng switch sa panel ng kliyente ng Mac at pumunta sa pagpili ng host na tatapos ng tunnel.

Saan maaaring manirahan ang gateway sa halip

Apat na kaayusan ang sumasaklaw sa karamihan ng tahanan at maliit na opisina. Ang router na may tunay na server mode, kumpara sa client mode na may ibang label, ay nagtatapos ng tunnel sa gilid at nagpapanatili ng mababang bilang ng host, kapalit ng pagkakatali sa suporta ng protocol ng firmware na iyon. Ang NAS o mini PC na laging bukas ay nagpapatakbo ng server package ng vendor at nag-iiwan ng mga log na mababasa mo. Ang maliit na cloud VM ay nagbibigay ng pampublikong address na kontrolado mo at umabot sa bahay sa pamamagitan ng pangalawang tunnel. Ang mesh overlay na itinayo sa WireGuard, o isang managed service na nagpapasa sa pagitan ng mga peer, ay umiiwas sa papasok na port forwarding sa pamamagitan ng pagpapaalam sa magkabilang dulo na tumawag palabas.

Ang hangganan sa pagitan ng mga pagpipilian ay karaniwang ang iyong koneksyon sa internet, hindi ang software. Kung ilalagay ka ng ISP sa likod ng carrier-grade NAT, walang dami ng port forwarding sa router ang gagawa ng maaabot na pasukan, at ang kaayusang may relay o mesh ang tapat na sagot. Ihambing ang WAN address na iniuulat ng router mo sa address na nakikita ng labas na mundo; kung magkaiba at ang halaga ng router ay nasa pribado o pinagsamang saklaw, magplano para sa kaso ng relay.

Anuman ang host na piliin mo, ipasa ang isang protocol sa isang port sa halip na isang saklaw, at ilayo ang Mac sa papasok na landas maliban kung idinodokumento ng partikular na produktong iyon ang tungkulin ng server para sa release ng macOS na pinapatakbo mo.

Kumpirmahin ang tungkulin bago ipamahagi ang mga profile

Sa kandidatong gateway, patunayan na may listener sa halip na maniwala na gumawa ang installer. Sa macOS, nangangahulugan iyon ng sudo lsof -nP -iUDP na sinasala sa mga port sa itaas, dagdag ang sudo pfctl -s nat kung bahagi ng disenyo ang mga patakaran ng packet filter. Sa Linux, ipinapakita ng ss -lunp ang parehong mga katotohanan nang walang kalabuan.

Pagkatapos ay subukan mula sa labas ng network, gamit ang protocol mismo. Kaunti lamang ang pinapatunayan ng Ping: madalas sinasala ang ICMP at walang sinasabi tungkol sa UDP 51820. Ang handshake ng kliyente na may detalyadong pag-log, na pinatakbo mula sa telepono sa cellular data, ang pinakamurang tunay na pagsubok dahil dumadaan ito sa parehong landas na dadaanan ng malayong kasamahan.

Pagkatapos lamang niyon mo hahawakan ang mga profile ng kliyente. Sa Mac, ipinapasa-print ng scutil --nc list ang mga serbisyong VPN na alam ng system; kung wala sa kanila ang gateway na bago mo lang itinayo, ibang makina ang kinokonpigura mo kaysa sa sinubukan mo. Kung nagtagumpay ang handshake sa LAN ngunit nabigo mula sa labas, nasa papasok na landas ang sira: panuntunan ng NAT, CGNAT ng provider, o firewall sa gateway, sa ganoong pagkakasunod-sunod.

Bago magtayo ng anuman, magpasya sa apat na punto:

• Aling panig ang nagsisimula ng koneksyon, ang iyong Mac o isang malayong device.
• Kung talagang sinusuportahan ng release ng OS at produkto ng tumatanggap na host ang tungkulin ng server.
• Kung binibigyan ka ba ng iyong ISP ng maaabot na pampublikong address.
• Aling nag-iisang port at protocol ang tatanggapin ng gateway, at aling serbisyo sa likod nito ang sumasagot.

Ang susunod na hakbang ay konkretong: piliin ang host ng gateway, kumpirmahin ang listener nito mula sa labas, at pagkatapos lamang gumawa ng entry ng kliyente sa Mac na nakaturo rito.