Mac VPN sozlamalari serverni ishga tushirmaydi: shlyuz qayerda yashaydi

macOS'da VPN nomini ikki xil ish olib yuradi, sozlamalar paneli esa ulardan faqat bittasi bilan shug'ullanadi. Bu Mac trafigi provayder yoki masofaviy shlyuz orqali tashqariga chiqishini istasangiz, mijoz yozuvi kifoya. Mehmonxona xonasidan uy tarmog'idagi printer, NAS yoki administrator sahifasiga yetib bormoqchi bo'lsangiz, o'sha tarmoqdagi narsa tashqaridan kelayotgan ulanishlarni qabul qilishi kerak, va hozirgi Mac odatda o'sha narsa emas. Uchta savol qaysi holatda ekaningizni aniqlaydi, va maydonga manzil yozishdan oldin ularga javob berishga arziydi.

Mijoz yozuvi manzilni ataydi, tinglovchini emas

macOS Ventura va undan keyingi versiyalarda Tizim sozlamalari > Tarmoq > VPN bo'limida eski versiyalar Tarmoq afzalliklari ostida saqlaydigan maydonlar birovning oxirgi nuqtasiga qanday yetib borishni tavsiflaydi: server manzili, masofaviy ID, hisob yoki sertifikat, va so'rov bo'yicha ulanishning ixtiyoriy qoidalari. O'sha yozuvni saqlash Mac'ingizning tarmoq konfiguratsiyasida ulanishni saqlaydi. Bu jarayonda hech narsa portni bog'lamaydi, tinglovchini ochmaydi yoki masofaviy foydalanuvchini ro'yxatga olmaydi.

Buni shell'dan tekshirishingiz mumkin. Xizmat ko'rsatyapti deb gumon qilgan Mac'da sudo lsof -nP -iUDP ni ishga tushiring va protokolingiz ishlatadigan portlarni qidiring: IKEv2 uchun 500 va 4500, OpenVPN'ning standarti uchun 1194, WireGuard uchun 51820. Faqat mijoz bo'lgan mashina masofaviy manzil va port bilan juftlangan soketlarni ko'rsatadi, internetdagi har qanday narsa yetib boradigan yovvoyi karta bog'lanishini emas. Network Extension ichida ishlaydigan tunnellar lsof'dan yashirinishi mumkin, shuning uchun baribir ilovaning holat panelini ham tekshiring; topa olmayotganingiz bu Mac'ni shlyuzga aylantiradigan Apple afzalligi.

Uchta savol ikki rolni ajratadi

Ularni tartib bilan ko'rib chiqing. Birinchisi odatda qolganini hal qiladi, uchinchisi esa Mac'ga xos rejalashtirish eng ko'p xato qiladigan joy.

1. Suhbatni kim boshlaydi? Agar Mac'ingiz tashqariga qo'ng'iroq qilsa va narigi tomon javob bersa, sizga mijoz kerak. Internetdagi qurilmalar tarmog'ingizga yetib borish uchun ichkariga qo'ng'iroq qilishi kerak bo'lsa, sizga ochiq kirish nuqtasi bo'lgan shlyuz kerak, va Mac o'sha shlyuzning mijozi bo'lib qolishi mumkin.

2. Tunnel ko'tarilgan paytda nima yetib borish imkoniyatiga ega bo'lishi kerak? Bitta xostdagi bitta xizmat portlarni yo'naltirish qarori. Nomlarni hal qilish bilan birga butun quyi tarmoq marshrutlash va DNS qarori, va bu shlyuz nima uzatishi kerakligini o'zgartiradi, mijoz yozuvi nima deyishini emas.

3. Qabul qiluvchi tomon qaysi OS versiyasini ishlatadi? Mac'lar uchun bu savolning qat'iy javobi bor. Apple VPN'ni macOS Server 5.7.1'dan olib tashlangan deb sanaydi, macOS Server ilovasi esa 2022 yil 21 aprelda to'xtatildi; xizmat tarixi haqidagi bildirishnoma endi mavjud bo'lmagan VPN xizmati katagidan eski qo'llanma sizni olib o'tganda o'qilishi kerak bo'lgan sahifa.

Birinchi javob «tashqaridan kimdir boshlaydi» bo'lsa, Mac'ning mijoz panelidan kalit qidirishni to'xtating va tunnelni tugatadigan xostni tanlashga o'ting.

Shlyuz buning o'rniga qayerda yashashi mumkin

To'rt joylashuv uy va kichik ofis holatlarining ko'pini qamrab oladi. Boshqa yorliqli mijoz rejimidan farqli ravishda haqiqiy server rejimiga ega router tunnelni chekkada tugatadi va xostlar sonini past ushlaydi, ammo o'sha firmware'ning protokol qo'llab-quvvatlashiga bog'lanib qoladi. NAS yoki doim yoniq mini kompyuter ishlab chiqaruvchining server paketini ishga tushiradi va sizga o'qish mumkin bo'lgan jurnallar qoldiradi. Kichik bulut VM siz boshqaradigan ochiq manzil beradi va uyga ikkinchi tunnel orqali yetib boradi. WireGuard ustiga qurilgan mesh qatlami yoki tengdoshlar orasida uzatuvchi boshqariladigan xizmat ikkala uchni tashqariga qo'ng'iroq qildirish orqali kiruvchi portlarni yo'naltirishdan qochadi.

Bu variantlar orasidagi chegara odatda dastur emas, sizning internet ulanishingiz. Agar ISP sizni operator darajasidagi NAT ortiga qo'ysa, routerdagi portlarni yo'naltirish qancha bo'lmasin yetib bo'ladigan kirish nuqtasi yaratmaydi, va rele yoki mesh joylashuvi halol javobdir. Routeringiz e'lon qilgan WAN manzilini tashqi dunyo ko'radigan manzil bilan solishtiring; agar ular farq qilsa va router qiymati xususiy yoki umumiy diapazonda bo'lsa, rele holatiga rejalashtiring.

Qaysi xostni tanlasangiz ham, diapazon o'rniga bitta portda bitta protokol uzating, va siz ishlatayotgan macOS versiyasi uchun o'sha aniq mahsulot server rolini hujjatlashtirmasa, Mac'ni kiruvchi yo'ldan tashqarida tuting.

Profillarni tarqatishdan oldin rolni tasdiqlang

Nomzod shlyuzda tinglovchi mavjudligini isbotlang, o'rnatuvchi yaratgan deb ishonish o'rniga. macOS'da bu yuqoridagi portlarga filtrlangan sudo lsof -nP -iUDP, va paket filtri qoidalari dizaynning qismi bo'lsa sudo pfctl -s nat degani. Linux'da ss -lunp xuddi shu faktlarni ikkilanishsiz ko'rsatadi.

So'ngra tarmoqdan tashqarida, protokolning o'zidan foydalanib sinab ko'ring. Ping kam narsani isbotlaydi: ICMP ko'pincha filtrlanadi va UDP 51820 haqida hech narsa demaydi. Batafsil jurnal bilan mijoz qo'l siqishi, uyali internetdagi telefondan ishga tushirilganda, eng arzon haqiqiy sinov, chunki u masofaviy hamkasb bosib o'tadigan yo'ldan o'tadi.

Shundan keyingina mijoz profillariga tegadi. Mac'da scutil --nc list tizim bilgan VPN xizmatlarini chop etadi; agar hozir qurilgan shlyuz ular qatorida bo'lmasa, siz sinab ko'rgan mashinadan boshqa mashinani sozlayapsiz. Agar qo'l siqish LAN'da muvaffaqiyatli bo'lib, tashqaridan muvaffaqiyatsiz bo'lsa, ayb kiruvchi yo'lda: NAT qoidasi, provayderning CGNAT'i yoki shlyuzdagi firewall, shu tartibda.

Biror narsa qurishdan oldin to'rt nuqtani hal qiling:

• Ulanishni qaysi tomon boshlaydi, sizning Mac yoki masofaviy qurilma.
• Qabul qiluvchi xostning OS versiyasi va mahsuloti haqiqatan ham server rolini qo'llab-quvvatlaydimi.
• ISP'ingiz sizga umuman yetib bo'ladigan ochiq manzil beradimi.
• Shlyuz qaysi bitta port va protokolni qabul qiladi, va uning orqasida qaysi xizmat javob beradi.

Keyingi qadam aniq: shlyuz xostini tanlang, uning tinglovchisini tashqaridan tasdiqlang, va shundan keyingina Mac'da unga ishora qiluvchi mijoz yozuvini yarating.