Mac VPN ayarları sunucu başlatmaz: geçidin yaşadığı yer

macOS'te VPN adını iki farklı iş taşır ve ayarlar paneli yalnızca birini ele alır. Bu Mac'in trafiğinin bir sağlayıcıdan veya uzak bir geçitten dışarı çıkmasını istiyorsanız istemci girdisi yeterlidir. Otel odasından ev ağınızdaki yazıcıya, NAS'a veya bir yönetici sayfasına ulaşmak istiyorsanız o ağdaki bir şeyin dışarıdan gelen bağlantıları kabul etmesi gerekir ve bugünkü bir Mac varsayılan olarak o şey değildir. Üç soru hangi durumda olduğunuzu belirler ve bir alana adres yazmadan önce bunları yanıtlamaya değer.

İstemci girdisi bir hedefi adlandırır, dinleyiciyi değil

macOS Ventura ve sonrasında Sistem Ayarları > Ağ > VPN bölümünde, eski sürümlerin Ağ tercihleri altında tuttuğu alanlar başkasının uç noktasına nasıl ulaşılacağını anlatır: sunucu adresi, uzak ID, hesap veya sertifika ve isteğe bağlı istek üzerine bağlanma kuralları. O girdiyi kaydetmek, Mac'inizin ağ yapılandırmasında bir bağlantı saklar. Süreçte hiçbir şey bir bağlantı noktası bağlamaz, dinleyici açmaz veya uzak bir kullanıcıyı kaydetmez.

Bunu kabuktan kontrol edebilirsiniz. Hizmet verdiğinden şüphelendiğiniz Mac'te sudo lsof -nP -iUDP komutunu çalıştırın ve protokolünüzün kullandığı bağlantı noktalarına bakın: IKEv2 için 500 ve 4500, OpenVPN'in varsayılanı için 1194, WireGuard için 51820. Yalnızca istemci olan makine, uzak adres ve bağlantı noktasıyla eşleştirilmiş soketler gösterir, internetteki herhangi bir şeyin ulaşabileceği joker bağlama değil. Network Extension içinde çalışan tüneller lsof'tan saklanabilir, bu yüzden her durumda uygulamanın durum paneline de bakın; bulamayacağınız şey bu Mac'i geçide dönüştüren bir Apple tercihidir.

Üç soru iki rolü ayırır

Bunları sırayla ele alın. Birincisi genellikle gerisini belirler, üçüncüsü ise Mac'e özgü planlamanın en çok yanlış gittiği yerdir.

1. Konuşmayı kim başlatır? Mac'iniz dışarı arar ve karşı taraf yanıt verirse bir istemciye ihtiyacınız var. İnternetteki cihazlar ağınıza ulaşmak için içeri aramak zorundaysa, genel bir giriş noktası olan geçide ihtiyacınız var ve Mac o geçidin istemcisi olarak kalabilir.

2. Tünel açıkken neye erişilebilir olmalı? Tek bir ana makinede tek bir hizmet, bağlantı noktası yönlendirme kararıdır. Ad çözümlemesi dahil tüm bir alt ağ, yönlendirme ve DNS kararıdır ve geçidin neyi iletmesi gerektiğini değiştirir, istemci girdisinin ne dediğini değil.

3. Kabul eden tarafı hangi işletim sistemi sürümü çalıştırıyor? Mac'ler için bu sorunun kesin bir yanıtı var. Apple, VPN'i macOS Server 5.7.1'den kaldırılmış olarak listeliyor ve macOS Server uygulaması 21 Nisan 2022'de sonlandırıldı; hizmet geçmişi bildirimi artık var olmayan bir VPN hizmeti onay kutusundan eski bir öğretici sizi geçirdiğinde okunacak sayfadır.

İlk yanıt “dışarıdan biri başlatıyor” ise, Mac'in istemci panelinde anahtar aramayı bırakın ve tüneli sonlandıracak ana makineyi seçmeye gidin.

Geçit bunun yerine nerede yaşayabilir

Dört düzen ev ve küçük ofis durumlarının çoğunu kapsar. Farklı etiketli bir istemci modu yerine gerçek sunucu moduna sahip bir yönlendirici, tüneli kenarda sonlandırır ve ana makine sayısını düşük tutar, ancak o ürün yazılımının protokol desteğine bağlı kalma pahasına. Bir NAS veya sürekli açık bir mini PC, satıcının sunucu paketini çalıştırır ve okuyabileceğiniz günlükler bırakır. Küçük bir bulut VM'i, denetlediğiniz genel bir adres verir ve ikinci bir tünelle eve ulaşır. WireGuard üzerine kurulu bir mesh katmanı veya eşler arasında aktaran yönetilen bir hizmet, iki ucu da dışarı aradırarak gelen bağlantı noktası yönlendirmesini atlar.

Bu seçenekler arasındaki sınır genellikle internet bağlantınızdır, yazılım değil. Sağlayıcı sizi taşıyıcı düzeyinde NAT arkasına koyarsa, yönlendiricide ne kadar bağlantı noktası yönlendirme olursa olsun erişilebilir bir giriş noktası oluşmaz ve dürüst yanıt relay veya mesh düzenidir. Yönlendiricinizin bildirdiği WAN adresini dış dünyanın gördüğü adresle karşılaştırın; farklıysa ve yönlendiricinin değeri özel veya paylaşımlı bir aralıktaysa relay durumuna göre plan yapın.

Hangi ana makineyi seçerseniz seçin, bir aralık yerine tek bir bağlantı noktasında tek bir protokol iletin ve çalıştırdığınız macOS sürümü için o ürün sunucu rolünü belgelemediği sürece Mac'i gelen yoldan uzak tutun.

Profilleri dağıtmadan önce rolü doğrulayın

Aday geçitte, kurulumun bir tane oluşturduğuna güvenmek yerine bir dinleyicinin var olduğunu kanıtlayın. macOS'te bu, yukarıdaki bağlantı noktalarına filtrelenmiş sudo lsof -nP -iUDP ve paket filtresi kuralları tasarımın parçasıysa sudo pfctl -s nat anlamına gelir. Linux'ta ss -lunp aynı olguları belirsizlik olmadan gösterir.

Sonra ağın dışından, protokolün kendisini kullanarak test edin. Ping az şey kanıtlar: ICMP sıklıkla filtrelenir ve UDP 51820 hakkında hiçbir şey söylemez. Ayrıntılı günlükle çalıştırılan bir istemci el sıkışması, hücresel verideki bir telefondan başlatıldığında en ucuz gerçek testtir çünkü uzaktaki bir iş arkadaşının geçeceği yoldan geçer.

Ancak ondan sonra istemci profillerine dokunursunuz. Mac'te scutil --nc list sistemin bildiği VPN hizmetlerini yazdırır; yeni kurduğunuz geçit bunların arasında değilse, test ettiğinizden farklı bir makineyi yapılandırıyorsunuz. El sıkışma LAN'da başarılı olup dışarıdan başarısız olursa hata gelen yoldadır: NAT kuralı, sağlayıcının CGNAT'ı veya geçitteki güvenlik duvarı, bu sırayla.

Bir şey kurmadan önce dört noktayı netleştirin:

• Bağlantıyı hangi taraf başlatıyor, Mac'iniz mi uzak bir cihaz mı.
• Kabul eden ana makinenin işletim sistemi sürümü ve ürünü gerçekten sunucu rolünü destekliyor mu.
• Sağlayıcınız size erişilebilir bir genel adres veriyor mu.
• Geçit hangi tek bağlantı noktasını ve protokolü kabul edecek ve arkasında hangi hizmet yanıt veriyor.

Sonraki adım somut: geçit ana makinesini seçin, dinleyicisini dışarıdan doğrulayın ve ancak ondan sonra Mac'te ona işaret eden istemci girdisini oluşturun.