Cách chọn ứng dụng khách Mac VPN cho cổng bạn đã có
SSL VPN là một dòng sản phẩm, không phải một giao thức. Hỏi chủ sở hữu cổng về ứng dụng khách, hồ sơ và phương thức đăng nhập, sau đó xác minh các tuyến đường và DNS trên máy Mac.
Sáu ứng dụng Mac VPN hiển thị trên trang tải xuống và không có ứng dụng nào trong số đó cho biết cổng nào mà nhà tuyển dụng của bạn sẽ chấp nhận. Đó không phải là khoảng trống trong cửa hàng; đó là một khoảng trống trong quá trình chuyển giao. SSL VPN là một dòng sản phẩm, không phải một giao thức, vì vậy hai cổng có màn hình đăng nhập giống hệt nhau có thể yêu cầu các ứng dụng khách khác nhau. Đây là thứ tự tôi sử dụng khi ai đó đưa cho tôi máy Mac và địa chỉ máy chủ: thiết lập nội dung cổng nói, chọn ứng dụng khách phù hợp với nó, sau đó xác minh các tuyến đường và DNS trước khi bạn tin tưởng giao công việc cho đường hầm.
Bắt đầu với cổng chứ không phải cửa hàng ứng dụng
Ứng dụng chạy trên máy Mac của bạn nhưng phải có thứ khác chấp nhận kết nối và cấp quyền truy cập: một cổng có nhà điều hành, địa chỉ, cài đặt tương thích và cách ủy quyền cho bạn. Một ứng dụng khách miễn phí có thể là một phần mềm tốt nhưng vẫn không cung cấp những thứ đó. Quyền truy cập vào cơ quan, cổng gia đình và lối ra Internet thương mại là ba điểm khởi đầu khác nhau để chia sẻ một trang tải xuống.
Trước khi cài đặt hoặc thay thế bất kỳ thứ gì, hãy nhận bốn câu trả lời từ người điều hành dịch vụ:
Chế độ truy cập: cổng trình duyệt, quyền truy cập ứng dụng đã chọn hoặc đường hầm mạng đầy đủ. Điều này quyết định liệu bạn có cần ứng dụng khách hay không.
Dòng cổng và bản phát hành được hỗ trợ: sản phẩm, dịch vụ được hỗ trợ và phiên bản ứng dụng khách vẫn hỗ trợ phần cứng máy Mac và bản dựng macOS của bạn.
Xác thực: mật khẩu cộng với MFA, đăng nhập trình duyệt, chứng chỉ thiết bị hoặc kiểm tra tư thế. Một ứng dụng khách thiếu luồng được phê duyệt sẽ kết nối và sau đó bị từ chối.
Quyền sở hữu: nguồn quản lý hoặc tải xuống đáng tin cậy, hồ sơ mong muốn và người hỗ trợ hồ sơ đó khi hồ sơ bị hỏng.
Quyền sở hữu là mục mọi người bỏ qua. Trên máy Mac được quản lý, hồ sơ thường đến thông qua hệ thống quản lý tổ chức và cấu hình được tạo thủ công có thể được thay thế vào lần đăng ký tiếp theo. Hãy hỏi xem bạn có phải tự cài đặt bất cứ thứ gì trước khi tìm kiếm ứng dụng của bên thứ ba hay không.
SSL VPN là nhãn gia đình, không phải giao thức
TLS có thể bảo vệ kết nối trong khi trao đổi dành riêng cho sản phẩm bên trong nó xử lý việc đăng nhập, phân bổ phiên và lưu lượng đường hầm. Trao đổi nội bộ đó là những gì ứng dụng khách phải thực hiện. Một trình duyệt truy cập vào cổng đăng nhập HTTPS để chứng minh chuỗi chứng chỉ và máy chủ web; điều đó không chứng minh được rằng một ứng dụng VPN không liên quan có thể tạo đường hầm cho cùng một máy.
OpenConnect là minh họa rõ ràng nhất mà tôi biết. Của nó tài liệu ngược dòng liệt kê các chế độ giao thức riêng biệt cho các họ cổng khác nhau và tách biệt khả năng tương tác khỏi hỗ trợ chính thức của nhà cung cấp. Nếu mỗi SSL VPN nói một giao thức thì những chế độ đó sẽ không cần thiết.
Cấu hình OpenVPN có cùng hạn chế theo chiều ngược lại: đó là định dạng nhập để triển khai tương thích OpenVPN. Việc chia sẻ TLS dưới dạng khối xây dựng sẽ không biến nó thành tệp cấu hình cho một cổng doanh nghiệp tùy ý. Đó là lý do tại sao việc đăng nhập vào trình duyệt đang hoạt động là kết quả dương tính giả: việc truy cập cổng có thể thành công khi không có đường hầm nào tồn tại và đường hầm xuất hiện vẫn có thể bị từ chối khi kiểm tra tư thế sau đó.
Kết nối ứng dụng khách với những gì cổng nói
Một khi gia đình đã được biết đến, sự lựa chọn sẽ thu hẹp lại nhanh chóng. Đây là ánh xạ mà tôi kiểm tra đầu tiên và cột cuối cùng quan trọng hơn bất kỳ xếp hạng ứng dụng nào.
| Gia đình cổng | Khách hàng trên macOS | Xem gì |
|---|---|---|
| IKEv2/IPsec, nhà cung cấp trung lập | Ứng dụng khách macOS tích hợp với hồ sơ .mobileconfig | Nhận dạng máy chủ và hồ sơ có thể được quản lý |
| OpenVPN 2.x | Tunnelblick hoặc dòng lệnh openvpn | .ovpn cộng với thông tin xác thực; ứng dụng khách không cung cấp dịch vụ |
| WireGuard | Ứng dụng khách WireGuard chính thức hoặc wireguard-tools | Cấu hình ngang hàng; wg show khả năng hiển thị khác nhau tùy theo ứng dụng khách |
| Nhà cung cấp SSL VPN (AnyConnect, Pulse, GlobalProtect, F5, Fortinet) | Khách hàng của nhà cung cấp hoặc OpenConnect với --protocol rõ ràng | Các kết hợp không được hỗ trợ, MFA và kiểm tra tư thế |
| Chỉ cổng trình duyệt | Không có ứng dụng khách | Quyền truy cập ứng dụng không phải là một đường hầm mạng |
Hai hàng xứng đáng được cảnh báo. Ứng dụng khách macOS tích hợp là một triển khai IKEv2 thực sự, không phải là ứng dụng khách SSL VPN chung: một dịch vụ được thiết kế cho ứng dụng này cần có hồ sơ chính xác, danh tính và thông tin xác thực máy chủ dự kiến, đồng thời trên máy được quản lý, hồ sơ đó có thể bị khóa. OpenConnect bao gồm một số giao thức của nhà cung cấp từ một tệp nhị phân, nhưng dự án riêng của nó không yêu cầu hỗ trợ của nhà cung cấp; quét máy chủ, quy tắc đường hầm phân chia được đẩy bằng cổng hoặc một luồng SSO cụ thể chỉ có thể tồn tại trong ứng dụng khách của nhà cung cấp.
WireGuard có hình dạng tương tự. Dịch vụ cung cấp các peer, ứng dụng khách cung cấp đường hầm và hồ sơ OpenVPN không phải là vật thay thế. Một điểm rắc rối trên macOS: ứng dụng khách App Store giữ các đường hầm của nó bên trong một Network Extension, vì vậy wg show từ các công cụ Homebrew không thể báo cáo gì khi giao diện đang hoạt động. Thay vào đó hãy xác minh bằng các tuyến đường và lưu lượng truy cập.
Cấu hình, sau đó xác minh theo thứ tự cố định
Cài đặt một ứng dụng khách và một hồ sơ, đồng thời ghi lại những gì bạn đã thay đổi. Trước khi kết nối, hãy chụp đường cơ sở để bạn có thể biết đường hầm thay đổi như thế nào:
scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dnsKết nối với cấu hình được cung cấp và lặp lại các lệnh tương tự. Đối với đường hầm đầy đủ, tuyến đường mặc định phải trỏ đến giao diện utun; với đường hầm phân chia, chỉ các tiền tố nội bộ mới được định tuyến và lối ra công khai của bạn sẽ không thay đổi. DNS là một nửa thường bị hỏng: scutil --dns liệt kê các trình phân giải theo thứ tự hệ thống sẽ sử dụng chúng và một trình phân giải nội bộ nằm bên dưới một trình phân giải công khai sẽ gửi tên nội bộ đến sai máy chủ.
Đối với dịch vụ OpenVPN, Tunnelblick là một ứng dụng khách miễn phí hợp lý và hướng dẫn riêng của nó là trực tiếp về một nửa còn thiếu: nó không cung cấp dịch vụ VPN. Bấm đúp vào .ovpn bạn đã được cung cấp, để Tunnelblick cài đặt nó và kiểm tra bản phát hành so với phiên bản macOS của bạn trước khi bạn dựa vào nó.
Đối với cổng nhà cung cấp, tôi thường kiểm tra OpenConnect từ dòng lệnh:
brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.comCông cụ này in chứng chỉ mà nó nhận được và chờ trước khi tin tưởng vào một chuỗi không xác định; Lời nhắc đó là một tính năng và việc ghim --servercert pin-sha256:... sẽ tốt hơn là chấp nhận cảnh báo mà bạn chưa đọc. Ctrl-C phá bỏ đường hầm vì kết nối mở tiền cảnh không có công tắc tắt và không có logic kết nối lại. Điều đó tốt cho phiên chẩn đoán và mặc định kém cho công việc hàng ngày.
Khi không có cổng nào phù hợp
Một số người đến với vấn đề ngược lại: không có người điều hành, không có địa chỉ, không có dịch vụ. Ứng dụng Mac miễn phí không thể tạo khả năng truy cập vào bộ định tuyến gia đình. Nếu bạn muốn có mạng riêng của mình từ một khách sạn, ai đó phải chạy một cổng tại nhà, vá lỗi, xuất bản hoặc giải quyết địa chỉ của nó và quyết định xem thiết bị nào có thể truy cập được.
Nếu bạn muốn có một lối thoát internet khác thay vì truy cập vào mạng riêng, hãy chọn dịch vụ trước ứng dụng khách. Danh sách hồ sơ trống trong ứng dụng khách độc lập thường không phải là đăng ký miễn phí bị hỏng; có thể không có đăng ký và không có máy chủ kèm theo. Ngoài ra, hãy tách biệt các chi phí: giấy phép ứng dụng khách, gói dịch vụ và cổng tự vận hành là ba giao dịch mua khác nhau.
Máy Mac dành cho công việc sẽ thêm lớp chính sách. Ứng dụng miễn phí có thể sai ngay cả khi kết nối vì ứng dụng khách được phê duyệt có thể thực thi việc kiểm tra thiết bị hoặc quy trình xác thực mà giải pháp thay thế thiếu. Yêu cầu một giải pháp thay thế đã được phê duyệt thay vì sao chép thông tin đăng nhập giữa các ứng dụng không liên quan và không coi việc tắt các biện pháp bảo vệ nền tảng là một giải pháp khắc phục khả năng tương thích.
Trình xem máy tính từ xa cũng là một sản phẩm khác. Nó hiển thị cho bạn một phiên trên máy tính khác; nó không cung cấp cho các ứng dụng cục bộ trên máy Mac của bạn đường dẫn mạng mà đường hầm cung cấp.
Một danh sách kiểm tra ngắn trước buổi học thực tế đầu tiên
Đặt tên cho họ cổng và chế độ truy cập bằng văn bản, chỉ cài đặt ứng dụng khách phù hợp với chúng và ghi lại hồ sơ bạn đã sử dụng. Sau đó xác nhận ba điều với lưu lượng truy cập thực: các tuyến đường mà đường hầm đã cài đặt, thứ tự của trình phân giải và một ứng dụng nội bộ được truy cập theo tên chứ không phải theo IP.
Nếu có lỗi xảy ra, hãy thay đổi từng biến một: ứng dụng khách, hồ sơ, quy trình xác thực. Cổng tải trong khi đường hầm từ chối khởi động sẽ tách sự cố máy chủ web khỏi sự cố tương thích với ứng dụng khách. Sau khi dịch vụ công việc trả lời và đường dẫn công cộng hoạt động như mong đợi, bạn sẽ có một sự sắp xếp được hỗ trợ, được đặt tên thay vì phải phỏng đoán một đống.