Zaten Sahip Olduğunuz Ağ Geçidi için Bir Mac VPN İstemcisi Nasıl Seçilir

Bir indirme sayfasında altı Mac VPN uygulaması görünüyor ve bunların hiçbiri işveren ağ geçidinizin hangisini kabul edeceğini söylemiyor. Bu mağazadaki bir boşluk değil; bu, devretmede bir boşluktur. SSL VPN bir protokol değil, bir ürün ailesidir; dolayısıyla aynı oturum açma ekranlarına sahip iki ağ geçidi farklı istemciler gerektirebilir. Birisi bana bir Mac ve sunucu adresi verdiğinde kullandığım sıra şu: ağ geçidinin ne söylediğini belirleyin, onunla eşleşen istemciyi seçin, ardından iş konusunda tünele güvenmeden önce rotaları ve DNS'yi doğrulayın.

Uygulama mağazasıyla değil, ağ geçidiyle başlayın

Uygulama Mac'inizde çalışır, ancak başka bir şeyin bağlantıyı kabul etmesi ve erişim izni vermesi gerekir: operatör, adres, uyumlu ayarlar ve sizi yetkilendirmenin bir yolu olan bir ağ geçidi. Ücretsiz bir istemci iyi bir yazılım olabilir ve yine de bunların hiçbirini sağlayamaz. İş erişimi, ev ağ geçidi ve ticari internet çıkışı, bir indirme sayfasını paylaşan üç farklı başlangıç noktasıdır.

Herhangi bir şeyi kurmadan veya değiştirmeden önce hizmeti çalıştıran kişiden dört yanıt alın:

• Erişim modu: tarayıcı portalı, seçilen uygulama erişimi veya tam ağ tüneli. Bu, bir müşteriye ihtiyacınız olup olmadığına karar verir.

• Ağ Geçidi ailesi ve desteklenen sürüm: ürün, etkin hizmet ve hâlâ macOS yapınızı ve Mac donanımınızı destekleyen bir istemci sürümü.

• Kimlik doğrulama: şifre artı MFA, tarayıcıda oturum açma, cihaz sertifikası veya duruş kontrolü. Onaylanan akışa sahip olmayan bir müşteri bağlanacak ve ardından reddedilecektir.

• Mülkiyet: güvenilir indirme veya yönetim kaynağı, amaçlanan profil ve bozulduğunda onu kimin desteklediği.

Sahiplik, insanların atladığı öğedir. Yönetilen bir Mac'te profil genellikle kuruluş yönetim sistemi aracılığıyla gelir ve elle oluşturulmuş bir yapılandırma, bir sonraki check-in sırasında değiştirilebilir. Üçüncü taraf bir uygulama aramaya başlamadan önce herhangi bir şeyi kendiniz yüklemenizin beklenip beklenmediğini sorun.

SSL VPN bir aile etiketidir, protokol değil

TLS, içindeki ürüne özel bir değişim oturum açma, oturum tahsisi ve tünel trafiğini yönetirken bir bağlantıyı koruyabilir. Bu iç değişim müşterinin uygulaması gereken şeydir. Ağ geçidinin HTTPS oturum açma sayfasına ulaşan bir tarayıcı, sertifika zincirini ve web sunucusunu kanıtlar; ilgisiz bir VPN uygulamasının aynı makineye tünel oluşturabileceğini kanıtlamaz.

OpenConnect bildiğim en net örnek. Onun yukarı akış belgeleri farklı ağ geçidi aileleri için ayrı protokol modlarını listeler ve birlikte çalışabilirliği resmi satıcı desteğinden ayırır. Her SSL VPN bir protokol konuşsaydı, bu modlar gereksiz olurdu.

OpenVPN profilinin de aynı sınırlaması vardır: OpenVPN uyumlu bir dağıtım için bir içe aktarma biçimidir. TLS'yi bir yapı taşı olarak paylaşmak, onu isteğe bağlı bir kurumsal ağ geçidi için bir yapılandırma dosyasına dönüştürmez. Çalışan bir tarayıcı oturum açma işleminin yanlış pozitif olmasının nedeni budur: Hiçbir tünel mevcut olmadığında portal erişimi başarılı olabilir ve ortaya çıkan bir tünel, daha sonra bir duruş kontrolü tarafından yine de reddedilebilir.

İstemciyi ağ geçidinin söyledikleriyle eşleştirin

Aile tanınınca seçim hızla daralıyor. Bu, ilk olarak kontrol ettiğim eşlemedir ve son sütun, herhangi bir uygulama derecelendirmesinden daha önemlidir.

İki satır bir uyarıyı hak ediyor. Yerleşik macOS istemcisi, genel bir SSL VPN istemcisi değil, gerçek bir IKEv2 uygulamasıdır: bunun için tasarlanmış bir hizmet, doğru profile, beklenen sunucu kimliğine ve kimlik bilgilerine ihtiyaç duyar ve yönetilen bir makinede bu profil kilitlenebilir. OpenConnect bir ikili dosyadan çeşitli satıcı protokollerini kapsar, ancak kendi projesi satıcı desteğini talep etmez; ana bilgisayar taraması, ağ geçidi tarafından gönderilen bölünmüş tünel kuralları veya belirli bir SSO akışı yalnızca satıcı istemcisinde mevcut olabilir.

WireGuard aynı şekle sahiptir. Hizmet eşleri sağlar, istemci ise tüneli sağlar ve OpenVPN profili bunun yerine geçmez. Bir macOS kırışıklık: App Store istemcisi tünellerini içeride tutar a Network Extension, böylece Homebrew araçlarından wg show, arayüz açıkken hiçbir şey bildiremez. Bunun yerine rotalar ve trafikle doğrulayın.

Sabit bir sırayla yapılandırın ve ardından doğrulayın

Bir istemci ve bir profil yükleyin ve neleri değiştirdiğinizi not edin. Bağlanmadan önce bir taban çizgisi yakalayın, böylece tünelin neyi değiştirdiğini anlayabilirsiniz:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Verilen profile bağlanın ve aynı komutları tekrarlayın. Tam bir tünel için varsayılan rota utun arayüzünü işaret etmelidir; bölünmüş tünelleme ile yalnızca dahili önekler yönlendirilmeli ve genel çıkışınız değişmeden görünmelidir. DNS genellikle bozuk kalan kısımdır: scutil --dns çözümleyicileri sistemin kullanacağı sıraya göre listeler ve genel çözümleyicinin altında bulunan dahili çözümleyici, dahili adları yanlış sunucuya gönderir.

OpenVPN hizmeti için, Tunnelblick makul, ücretsiz bir müşteridir ve kendi kılavuzu eksik olan yarım hakkında doğrudandır: VPN hizmeti sağlamaz. Size verilen .ovpn öğesine çift tıklayın, Tunnelblick uygulamasını yükleyin ve Güvenmeden önce sürümü macOS sürümünüze göre kontrol edin.

Satıcı ağ geçidi için sıklıkla komut satırından OpenConnect ile test yapıyorum:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Araç, aldığı sertifikayı yazdırır ve bilinmeyen bir zincire güvenmeden önce bekler; bu istem bir özelliktir ve --servercert pin-sha256:... ile sabitlemek, okumadığınız bir uyarıyı kabul etmekten daha iyidir. Ctrl-C tüneli yerle bir eder, çünkü ön plandaki açık bağlantının bir durdurma anahtarı ve yeniden bağlanma mantığı yoktur. Bu bir teşhis oturumu için iyidir ve günlük işler için zayıf bir varsayılandır.

Eşleşecek bir ağ geçidi olmadığında

Bazı insanlar ise tam tersi bir sorunla geliyor: Operatör yok, adres yok, hizmet yok. Ücretsiz bir Mac uygulaması, ev yönlendiricisinde gelen erişilebilirliği sağlayamaz. Bir otelden kendi ağınızı istiyorsanız, birisinin evde bir ağ geçidi çalıştırması, onu yamalı tutması, adresini yayınlaması veya çözümlemesi ve hangi cihazların erişilebilir olduğuna karar vermesi gerekir.

Özel bir ağa erişim yerine farklı bir internet çıkışı istiyorsanız istemciden önce hizmeti seçin. Bağımsız bir istemcideki boş bir profil listesi genellikle bozuk bir ücretsiz abonelik değildir; abonelik olmayabilir ve sunucu bağlı olmayabilir. Maliyetleri de ayrı tutun: müşteri lisansı, hizmet planı ve kendi kendine çalışan bir ağ geçidi üç farklı satın alma işlemidir.

Bir çalışma Mac'i bir politika katmanı ekler. Onaylanan istemci, cihaz kontrollerini veya alternatifte bulunmayan bir kimlik doğrulama akışını zorunlu kılabileceğinden, ücretsiz bir uygulama bağlandığında bile hatalı olabilir. Kimlik bilgilerini ilgisiz uygulamalar arasında kopyalamak yerine onaylı bir alternatif isteyin ve platform korumalarının devre dışı bırakılmasını uyumluluk düzeltmesi olarak değerlendirmeyin.

Uzak masaüstü görüntüleyici de farklı bir üründür. Size başka bir bilgisayardaki bir oturumu gösterir; Mac yerel uygulamalarınıza tünelin sağladığı ağ yolunu vermez.

İlk gerçek oturumdan önce kısa bir kontrol listesi

Ağ geçidi ailesini ve erişim modunu yazılı olarak adlandırın, yalnızca bunlarla eşleşen istemciyi yükleyin ve kullandığınız profili kaydedin. Daha sonra üç şeyi gerçek trafikle doğrulayın: Tünelin kurduğu rotalar, çözümleyici sırası ve IP yerine isimle ulaşılan bir dahili uygulama.

Bir şeyler başarısız olursa, tek seferde bir değişkeni değiştirin: istemci, profil, kimlik doğrulama akışı. Tünel başlamayı reddederken yüklenen bir portal, web sunucusu sorununu istemci uyumluluğundan ayırır. Çalışma hizmeti yanıt verdiğinde ve genel yol beklendiği gibi davrandığında, bir yığın tahmin yerine adlandırılmış, desteklenen bir düzenlemeye sahip olursunuz.