Guida
Come configurare una VPN su un Mac
Quale delle due versioni del client installare, l’autorizzazione richiesta da macOS prima che il tunnel possa esistere, le impostazioni che vale la pena controllare e come verificare che il tunnel trasporti il tuo traffico invece di limitarsi a risultare connesso. Scritto per macOS 27.
Prima di iniziare
Questa guida non sceglie al posto tuo
Ogni passaggio qui sotto è uguale qualunque sia il fornitore che usi, per questo non ne viene nominato nessuno. La scelta è un’attività separata e si fa nel registro, dove viene effettuata sulla base di un punteggio pubblicato e non di una pagina di download.
Installa il client dal sito del fornitore o dal Mac App Store, mai da un risultato di ricerca o da un portale di download. Un client VPN installa un’estensione di rete che vede ogni byte inviato dal Mac; un installer riconfezionato è la cosa peggiore in assoluto a cui affidare quel ruolo.
Installa il client
- Scegli la versione dal sito del fornitore, non dallo store, quando esistono entrambe. La versione del Mac App Store viene eseguita nella sandbox di Apple, e la sandbox impedisce alcune funzioni per cui serve un client VPN: un kill switch attivo prima dell’accesso, lo split tunnelling per applicazione. Il download diretto è di solito il client completo. Usa la versione dello store solo quando è l’unica disponibile.
- Accedi prima al sito del fornitore e scarica il client dall’area dell’account, così il file eseguito proviene dalla sessione che ha dimostrato che hai un abbonamento.
- Apri l’installer e autorizza l’estensione quando macOS lo chiede. Il sistema dirà che il client vuole aggiungere un’estensione di rete o una configurazione VPN e ti porterà in Impostazioni di Sistema › Generali › Elementi di login ed estensioni. Consentila. Un client la cui estensione non è autorizzata si apre, permette di accedere e non si connette mai.
- Lascia attivo l’elemento in background. La stessa pagina delle impostazioni elenca il client sotto Consenti in background. Disattivarlo per riordinare l’elenco è il modo in cui il tunnel smette di riconnettersi dopo la sospensione.
- Accedi al client e assegna al dispositivo un nome che non permetta di identificarti; il nome viene conservato dal fornitore.
- Non connetterti ancora. Apri prima le impostazioni. Nella maggior parte dei client, due delle tre impostazioni qui sotto sono disattivate per impostazione predefinita.
Le tre impostazioni da controllare
I menu dei client cambiano, le impostazioni no. Ognuna delle tre è descritta nel glossario se il nome non ti è familiare.
Il kill switch
Blocca tutto il traffico se il tunnel cade, invece di lasciare silenziosamente che la connessione torni alla rete normale. Di solito è disattivato per impostazione predefinita perché fa sembrare il prodotto meno affidabile — un tunnel interrotto diventa una connessione inattiva anziché una connessione che continua senza che tu te ne accorga, ed è esattamente questo il suo scopo. Attivalo. Se il client distingue tra un kill switch che si applica solo mentre sei connesso e uno che si applica sempre, scegli il secondo: un Mac che si riattiva su una rete Wi-Fi insolita trascorre diversi secondi sulla rete non protetta prima che il client si riconnetta, e quella è la lacuna che conta. Lo scopo del kill switch è spiegato nella pagina dedicata.
DNS dentro il tunnel
Le risoluzioni dei nomi possono uscire dal tunnel anche quando tutto il resto vi si trova dentro: in questo modo la rete scopre quali siti hai visitato e nasconde solo ciò che hai fatto al loro interno. Cerca protezione dalle perdite DNS, usa il DNS del fornitore oppure un campo DNS personalizzato e impostalo sul resolver del fornitore, non su quello di terzi. Ti fidi già del fornitore per il traffico; una seconda parte che vede solo le risoluzioni aumenta il numero di soggetti senza ridurre ciò che nessuno di loro sa. Il funzionamento di una perdita è spiegato nella pagina sulle perdite DNS.
Il protocollo
Lascialo sull’impostazione predefinita moderna, a meno che qualcosa non funzioni — la pagina sui protocolli indica quali sono attuali e quali obsoleti. Se il client offre un’opzione più vecchia per risolvere un problema di connessione, è una scelta da fare consapevolmente e poi annullare: il registro segnala il protocollo più debole ancora offerto dal fornitore e selezionarlo manualmente significa scegliere per te stesso quella segnalazione.
Verifica che funzioni davvero
Connettiti, poi controlla invece di dare per scontato che funzioni. Tre verifiche, in quest’ordine, tutte gratuite e senza bisogno di software:
- Il tuo indirizzo è cambiato. Apri una pagina qualsiasi che mostri “qual è il mio IP” e verifica che il Paese corrisponda all’uscita che hai scelto. Se mostra il tuo Paese mentre il client indica che sei connesso, l’estensione è in esecuzione ma il traffico non la attraversa.
- Le risoluzioni sono dentro il tunnel. Esegui un test delle perdite DNS e leggi i resolver indicati. Se appartengono al tuo fornitore di servizi Internet, l’impostazione DNS sopra non è stata applicata.
- Il kill switch fa ciò che dichiara. Mentre è in corso un download, apri Monitoraggio Attività, trova il processo helper o daemon del client — contiene il nome del fornitore — e chiudilo forzatamente, così il tunnel cade senza che venga chiesto al client. Il trasferimento dovrebbe interrompersi completamente. Se continua, il kill switch è solo decorativo.
La serie più ampia di test, con ciò che ciascuno può e non può mostrare, è nella guida dedicata.
Cosa dimostrano queste verifiche
+Il tuo traffico esce attraverso il server di uscita, nel Paese che hai selezionato
+La rete a cui sei connesso non può più leggere quali siti raggiungi
+Quando il tunnel cade, la connessione viene bloccata invece di tornare silenziosamente alla rete normale
Cosa non dimostrano
−Non dicono nulla su ciò che conserva il fornitore — è una questione documentale, a cui rispondono le pagine sulla conservazione
−Non ti rendono anonimo: il browser e i tuoi accessi non cambiano; vedi da cosa una VPN non ti protegge
−Un test delle perdite superato oggi non è una promessa sull’aggiornamento del client di domani
Sospensione, riattivazione e reti Wi-Fi insolite
Un portatile è il dispositivo che si apre su reti che non ha mai visto, e un Mac svolge la parte pericolosa — si collega al Wi-Fi, controlla la posta e sincronizza i dati — nei primi secondi dopo l’apertura del coperchio, prima che qualunque client si sia riconnesso. Due impostazioni chiudono questa finestra. Connessione automatica nel client, così la riconnessione è compito del client e non tuo; e il kill switch sempre attivo indicato sopra, così fino alla riconnessione il Mac non invia nulla. Con entrambe, una rete Wi-Fi di un bar vede un portatile che si è connesso e poi è rimasto silenzioso finché il tunnel non è stato attivato. Ciò che una rete simile può leggere altrimenti è spiegato nella pagina sul Wi-Fi pubblico.
Se un client offre un elenco di reti attendibili sulle quali rimane disattivato, mantieni l’elenco breve. La rete domestica è inclusa perché lì c’è la stampante, non perché il fornitore di servizi Internet che la gestisce sia cieco.
Quando non funziona
Il client si installa ma non si connette mai
Quasi sempre è una questione di autorizzazione. Apri Impostazioni di Sistema > Generali > Elementi di login ed estensioni e cerca la sezione Estensioni di rete: il client deve essere autorizzato, e durante l’installazione è facile chiudere per errore la richiesta.
Se è autorizzato ma non succede ancora nulla, rimuovi il client con il suo programma di disinstallazione, riavvia e installalo di nuovo, così la richiesta comparirà una seconda volta.
Il tunnel scompare ogni volta che il Mac si riattiva dalla sospensione
È un comportamento previsto senza la connessione automatica: l’interfaccia di rete si disattiva quando chiudi il coperchio e il client aspetta che gli venga richiesto di connettersi. Attiva la connessione automatica del client, oppure l’impostazione di connessione sulle reti non attendibili, e la riconnessione avverrà prima che tu abbia finito di digitare la password.
Con il kill switch attivo, i secondi tra la riattivazione e la riconnessione sono una connessione inattiva, non una perdita. È il kill switch che sta funzionando.
AirDrop, una stampante o il televisore hanno smesso di funzionare mentre ero connesso
Anche il traffico locale entra nel tunnel e la stampante non si trova dall’altra parte. La maggior parte dei client ha un’impostazione chiamata accesso alla rete locale, accesso LAN o split tunnelling; attivandola, gli indirizzi della tua rete vengono inviati fuori dal tunnel e tutto il resto rimane al suo interno.
Stessi passaggi, altre macchine
Il resto delle piattaforme
Ogni piattaforma ha una guida propria anziché una scheda su questa. I passaggi divergono non appena si apre il programma di installazione, e una pagina che risponde a tre piattaforme insieme non risponde bene a nessuna.