Poradnik
Jak skonfigurować VPN na Macu
Którą z dwóch wersji klienta zainstalować, na jaką zgodę macOS czeka przed utworzeniem tunelu, które ustawienia warto sprawdzić oraz jak potwierdzić, że tunel faktycznie przenosi ruch, zamiast tylko sprawiać wrażenie aktywnego. Tekst dotyczy macOS 27.
Zanim zaczniesz
Ten poradnik nie wybiera dostawcy za Ciebie
Każdy z poniższych kroków wygląda tak samo niezależnie od używanego dostawcy, dlatego żaden nie jest tu wymieniony. Wybór to osobne zadanie, które wykonuje się w rejestrze, gdzie decyzję podejmuje się na podstawie opublikowanego wyniku, a nie strony pobierania.
Zainstaluj klienta z własnej strony dostawcy lub z Mac App Store, nigdy z wyników wyszukiwania ani portalu z plikami do pobrania. Klient VPN instaluje rozszerzenie sieciowe, które widzi każdy bajt wysyłany przez Maca; przepakowany instalator to najgorsza rzecz, której można powierzyć taką pozycję.
Zainstaluj klienta
- Jeśli dostępne są obie wersje, wybierz tę ze strony dostawcy, a nie ze sklepu. Wersja z App Store działa w piaskownicy Apple, a piaskownica uniemożliwia część działań, do których służy klient VPN: działanie wyłącznika awaryjnego przed zalogowaniem czy tunelowanie dzielone według aplikacji. Bezpośrednio pobrany plik jest zwykle pełnym klientem. Wersję ze sklepu wybierz tylko wtedy, gdy jest jedyną oferowaną.
- Najpierw zaloguj się na stronie dostawcy i pobierz plik z obszaru konta, aby uruchamiany plik pochodził z sesji, która potwierdziła, że masz subskrypcję.
- Otwórz instalator i zaakceptuj rozszerzenie, gdy macOS o to poprosi. System poinformuje, że klient chce dodać rozszerzenie sieciowe lub konfigurację VPN, i przeniesie Cię do Ustawień systemowych › Ogólne › Elementy logowania i rozszerzenia. Zezwól na to. Klient, którego rozszerzenie nie zostało zatwierdzone, otworzy się, pozwoli się zalogować, ale nigdy się nie połączy.
- Pozostaw element działający w tle włączony. Ta sama strona ustawień wyświetla klienta w sekcji Zezwalaj w tle. Wyłączenie go w celu uporządkowania listy sprawi, że tunel przestanie ponownie łączyć się po uśpieniu.
- Zaloguj się do klienta i nadaj urządzeniu nazwę, która nie pozwala Cię zidentyfikować; dostawca przechowuje tę nazwę.
- Nie łącz się jeszcze. Najpierw otwórz ustawienia. Dwa z trzech opisanych niżej ustawień są domyślnie wyłączone w większości klientów.
Trzy ustawienia, które warto sprawdzić
Menu klientów się różnią, ale ustawienia nie. Każde z tych trzech pojęć ma hasło w glosariuszu, jeśli jego nazwa jest nieznana.
Wyłącznik awaryjny
Blokuje cały ruch po zerwaniu tunelu, zamiast po cichu pozwolić połączeniu wrócić do zwykłej sieci. Zwykle jest domyślnie wyłączony, ponieważ sprawia, że produkt wydaje się mniej niezawodny — zerwany tunel oznacza utratę połączenia, a nie niezauważony powrót do sieci, i właśnie o to chodzi. Włącz go. Jeśli klient rozróżnia wyłącznik działający tylko podczas połączenia od wyłącznika działającego zawsze, wybierz ten drugi: Mac wybudzony w nieznanej sieci Wi-Fi przez kilka sekund korzysta z niezabezpieczonej sieci, zanim klient ponownie się połączy, a właśnie ta luka ma znaczenie. Przeznaczenie wyłącznika opisano na osobnej stronie.
DNS wewnątrz tunelu
Zapytania o nazwy mogą opuszczać Maca poza tunelem, nawet gdy cała reszta ruchu pozostaje w jego wnętrzu. Dzięki temu sieć dowiaduje się, jakie strony odwiedzasz, a ukryte jest tylko to, co na nich robisz. Poszukaj ustawienia ochrona przed wyciekiem DNS, używaj DNS dostawcy albo pola własnego DNS i ustaw DNS dostawcy zamiast serwera strony trzeciej. Dostawca już otrzymuje zaufanie do obsługi Twojego ruchu; druga strona, która widzi tylko zapytania, zwiększa liczbę stron mających dostęp do informacji, nie ograniczając wiedzy żadnej z nich. Sposób powstawania wycieku opisano na stronie o wyciekach DNS.
Protokół
Pozostaw nowoczesne ustawienie domyślne, chyba że coś nie działa — strona o protokołach pokazuje, które z nich są aktualne, a które przestarzałe. Jeśli klient oferuje starszą opcję w celu rozwiązania problemu z połączeniem, jest to kompromis, który należy podjąć świadomie, a następnie cofnąć: rejestr wskazuje najsłabszy protokół nadal oferowany przez dostawcę, a ręczne wybranie go oznacza wybranie tego wskazania dla siebie.
Potwierdź, że wszystko faktycznie działa
Połącz się, a następnie sprawdź działanie zamiast zakładać, że jest poprawne. Wykonaj trzy kontrole, w tej kolejności; wszystkie są bezpłatne i żadna nie wymaga oprogramowania:
- Twój adres się zmienił. Otwórz dowolną stronę typu „jaki jest mój adres IP” i sprawdź, czy kraj odpowiada wybranemu węzłowi wyjściowemu. Jeśli klient pokazuje połączenie, ale strona wskazuje Twój własny kraj, rozszerzenie działa, lecz ruch przez nie nie przechodzi.
- Zapytania odbywają się wewnątrz tunelu. Uruchom test wycieku DNS i odczytaj wskazane serwery rozpoznawania nazw. Jeśli którykolwiek należy do Twojego dostawcy internetu, ustawienie DNS opisane wyżej nie zadziałało.
- Wyłącznik awaryjny działa zgodnie z przeznaczeniem. Przy uruchomionym pobieraniu otwórz Monitor aktywności, znajdź proces pomocniczy lub demona klienta — będzie nosił nazwę dostawcy — i wymuś jego zakończenie, aby tunel został zerwany bez żądania tego od klienta. Transfer powinien natychmiast się zatrzymać. Jeśli będzie trwał dalej, wyłącznik jest tylko dekoracją.
Dłuższy zestaw testów oraz wyjaśnienie, co każdy z nich może, a czego nie może wykazać, opisano w osobnym poradniku.
Co potwierdzają te kontrole
+Twój ruch opuszcza sieć przez serwer wyjściowy w wybranym kraju
+Sieć, z której korzystasz, nie może już odczytać, do jakich stron uzyskujesz dostęp
+Po zerwaniu tunelu połączenie zostaje zamknięte, zamiast po cichu wrócić do zwykłej sieci
Czego nie potwierdzają
−Nie mówią nic o tym, co przechowuje dostawca — to kwestia dokumentów, na którą odpowiadają strony o retencji
−Nie zapewniają anonimowości: przeglądarka i logowania pozostają bez zmian; zobacz, przed czym VPN Cię nie chroni
−Udany test wycieku dzisiaj nie jest obietnicą dotyczącą jutrzejszej aktualizacji klienta
Uśpienie, wybudzenie i nieznane sieci Wi-Fi
To laptop łączy się z sieciami, których wcześniej nie widział, a Mac wykonuje ryzykowne czynności — dołącza do Wi-Fi, sprawdza pocztę i synchronizuje dane — w pierwszych sekundach po otwarciu pokrywy, zanim jakikolwiek klient ponownie się połączy. Dwa ustawienia zamykają to okno. Automatyczne łączenie w kliencie sprawia, że ponowne połączenie jest zadaniem klienta, a nie Twoim; opisany wyżej zawsze włączony wyłącznik awaryjny sprawia natomiast, że do czasu ponownego połączenia Mac niczego nie wysyła. Przy obu ustawieniach sieć w kawiarni widzi laptop, który do niej dołączył, a następnie zamilkł do chwili aktywacji tunelu. To, co taka sieć może odczytać w innych warunkach, opisano na stronie o publicznych sieciach Wi-Fi.
Jeśli klient oferuje listę zaufanych sieci, w których pozostaje wyłączony, nie rozbudowuj jej. Dodaj do niej dom, ponieważ znajduje się tam drukarka, a nie dlatego, że dostawca internetu stojący za tą siecią niczego nie widzi.
Gdy to nie działa
Klient się instaluje, ale nigdy nie łączy
Niemal zawsze chodzi o zgodę. Otwórz Ustawienia systemowe > Ogólne > Elementy logowania i rozszerzenia, a następnie sprawdź sekcję Rozszerzenia sieciowe: klient musi być tam dozwolony, a monit z prośbą o zgodę łatwo przypadkowo zamknąć podczas instalacji.
Jeśli zgoda jest udzielona, ale nadal nic się nie dzieje, usuń klienta za pomocą jego własnego deinstalatora, uruchom ponownie komputer i zainstaluj go ponownie, aby monit pojawił się drugi raz.
Tunel znika za każdym razem, gdy Mac wybudza się ze snu
Bez automatycznego łączenia jest to oczekiwane zachowanie: interfejs sieciowy wyłącza się wraz z zamknięciem pokrywy, a klient czeka na polecenie. Włącz automatyczne łączenie klienta albo ustawienie łączenia w niezaufanych sieciach, a ponowne połączenie nastąpi, zanim skończysz wpisywać hasło.
Przy włączonym wyłączniku awaryjnym sekundy między wybudzeniem a ponownym połączeniem oznaczają zerwane połączenie, a nie wyciek. Tak właśnie działa wyłącznik.
AirDrop, drukarka lub telewizor przestały działać podczas połączenia
Ruch lokalny również trafia do tunelu, a drukarka nie znajduje się po jego drugiej stronie. Większość klientów ma ustawienie o nazwie dostęp do sieci lokalnej, dostęp do sieci LAN lub tunelowanie dzielone; jego włączenie wysyła adresy z Twojej własnej sieci poza tunel, pozostawiając całą resztę ruchu w jego wnętrzu.
Jest to bezpieczne w sieci, którą zarządzasz. W sieci, do której nie masz zaufania, pozostaw to ustawienie wyłączone.
Wersji z App Store brakuje ustawienia dostępnego w wersji ze strony
Obie wersje są różnymi programami. Wersja ze sklepu działa w piaskownicy Apple, a niektóre działania klienta VPN — wyłącznik awaryjny aktywny już podczas uruchamiania czy tunelowanie dzielone według aplikacji — nie są w niej możliwe. Własny plik pobrany od dostawcy jest pełniejszym klientem.
Jeśli masz już zainstalowaną wersję ze sklepu i potrzebujesz tego ustawienia, najpierw ją odinstaluj; dwie wersje działające obok siebie rywalizują o to samo rozszerzenie sieciowe.
Te same kroki, inne systemy
Pozostałe platformy
Każda platforma ma własny poradnik, a nie zakładkę w tym jednym. Kroki rozjeżdżają się już od momentu otwarcia instalatora, a strona odpowiadająca na trzy platformy naraz nie odpowiada porządnie na żadną z nich.