Налаштування VPN на Mac: оберіть клієнт, що пасує вашому профілю

Налаштуйте клієнт, який назвав ваш оператор VPN, потім доведіть роботу тунелю приватним ресурсом, який вам справді потрібен. Mac може зберігати вбудовану конфігурацію VPN у Системних налаштуваннях, але файл OpenVPN або WireGuard потребує програмного забезпечення, яке розуміє формат, і це різні шляхи налаштування. Тип облікових даних визначає, як саме не вдасться вхід, тому прочитайте його, перш ніж щось вводити. Оцінюйте результат за тим, що повертає приватний ресурс, а не за піктограмою в рядку меню.

Зіставте клієнт із виданим вам профілем

Почніть із файлу або інструкцій, які надіслав ваш оператор, а не зі списку протоколів на сайті завантажень. Вбудована форма VPN у Системних налаштуваннях працює з окремими типами; профіль OpenVPN або конфігурація WireGuard потребують застосунку, який їх розбирає. Керований Mac може вже отримувати своє з'єднання від керування пристроями, і додавання другого профілю поверх дає конфлікт, а не налаштування. Подивіться, що вже є, перш ніж щось встановлювати.

Спосіб входу береться з профілю, і зазвичай це одне з трьох: пароль облікового запису, клієнтський сертифікат або парольна фраза, що розблоковує приватний ключ. Неправильний пароль і відхилений сертифікат однаково зупиняють з'єднання, проте читаються вони не однаково, і лише один із них лікується скиданням пароля облікового запису. Прочитайте відмову, перш ніж щось змінювати: прострочений або недовірений сертифікат так само не спрацює після скидання пароля, а поганий пароль зазнає невдачі одразу, з першої спроби.

Тримайте приватні матеріали подалі від спільних журналів. Парольна фраза ключа, клієнтський сертифікат і його ключ не належать до чату з колегою, а знімок екрана редактора профілю зазвичай викриває більше, ніж очікує відправник. Якщо оператор надає файл для імпорту, імпортуйте його, а не передруковуйте значення вручну.

Доведіть, що це працює на ресурсі, а не на піктограмі

Робочий профіль часто маршрутизує лише офісні призначення, тож публічна адреса, яку ви бачите під час перегляду, може лишатися тією самою, поки приватний застосунок працює. У особистому профілі виходу адреса, яку ви бачите ззовні, повинна змінитися, а в робочому зазвичай не повинна. Виміряйте цю різницю, перш ніж робити висновок, що тунель зламано.

Потім відкрийте ресурс, який вам справді потрібен: файловий ресурс, сторінку адміністрування, хост бази даних. Головна сторінка, що завантажується через тунель, доводить, що тунель несе якийсь трафік, а не той, який ви мали на увазі. Якщо браузер досі показує початкову адресу, коли профіль має її змінити, порівняйте три речі: застосунок, який використовується, сімейство адрес і політику проксі. Проксі браузера або шлях IPv6 можуть провести трафік повз VPN, поки сам тунель здоровий.

Якщо клієнт показує таблицю маршрутизації, прочитайте маршрут за замовчуванням і маршрут тунелю. Ця пара фіксує, яку саме схему ви розгорнули.

Коли воно перестає працювати, знайдіть шар, що зламався

Налаштування, яке працювало раніше, зазвичай ламалося через те, що до шляху долучилося щось: другий клієнт VPN, агент безпеки, фільтр вмісту, нове мережеве розширення. Використовуйте власну діагностику продукту, а не видаляйте налаштування чи скидайте мережевий стек, що є сподіванням, а не діагностикою. Зіставте збій із подією, чи то сон, зміна Wi-Fi, вхід на портал або оновлення клієнта, і занотуйте, чи він повторюється. Повторюваний тригер належить до заявки разом із часом, коли він стався.

Імена збоять інакше, ніж маршрути. До приватного хоста слід звертатися за його задокументованим повним ім'ям, а короткі офісні імена залежать від внутрішнього резолвера та домену пошуку, що існує лише на корпоративному шляху. Замініть цей резолвер на публічну службу DNS, і короткі імена зовсім перестануть розв'язуватися, що виглядає як зламаний тунель, але ним не є.

scutil --dns
dscacheutil -q host -a name intranet.example.com

У виводі scutil --dns знайдіть резолвер, домен пошуку якого збігається з вашим корпоративним доменом, і прочитайте сервер імен, на який він вказує; записи, перелічені в розділі конфігурації DNS, показують, який резолвер надає кожен інтерфейс. Коли корпоративний резолвер з'являється лише для іншого інтерфейсу або браузер запускає власний зашифрований DNS, один застосунок розв'язує ім'я, а все інше зазнає невдачі.

Видаляйте профіль, який більше не потрібен, через механізм, що його встановив, бо видалення локального запису залишає обліковий запис на боці сервера живим, і застарілий клієнт усе ще може заявити ті самі маршрути. На керованому Mac важить саме процес видалення адміністратора. Запишіть назву профілю, адресу сервера та робочий ресурс, перш ніж щось видаляти, щоб відновлення не починалося з нуля.