Ghid
Cum configurezi un VPN pe un Mac
Ce versiune a clientului trebuie instalată, aprobarea cerută de macOS înainte ca tunelul să poată exista, setările care merită verificate și cum confirmi că tunelul îți transportă traficul, nu doar afișează că este conectat. Redactat pentru macOS 27.
Înainte să începi
Acest ghid nu alege în locul tău
Toți pașii de mai jos sunt aceiași, indiferent de furnizorul folosit, motiv pentru care niciunul nu este numit aici. Alegerea este o sarcină separată și se face în registru, unde decizia se bazează pe un scor publicat, nu pe o pagină de descărcare.
Instalează clientul de pe site-ul furnizorului sau din Mac App Store, niciodată dintr-un rezultat de căutare sau de pe un portal de descărcări. Un client VPN instalează o extensie de rețea care vede fiecare octet trimis de Mac; un program de instalare reambalat este cel mai rău lucru căruia îi poți acorda o asemenea poziție.
Instalează clientul
- Alege versiunea de pe site-ul furnizorului, nu din magazin, atunci când ambele există. Versiunea din App Store rulează în sandbox-ul Apple, iar sandbox-ul interzice unele dintre funcțiile pentru care există un client VPN: un întrerupător de urgență activ înainte de autentificare, tunelare divizată pe aplicații. Descărcarea directă este, de obicei, clientul complet. Alege versiunea din magazin doar atunci când este singura oferită.
- Autentifică-te mai întâi pe site-ul furnizorului și descarcă din zona contului, astfel încât fișierul pe care îl rulezi să provină din sesiunea care a confirmat că ai un abonament.
- Deschide programul de instalare și aprobă extensia când macOS îți cere acest lucru. Sistemul va spune că clientul dorește să adauge o extensie de rețea sau o configurație VPN și te va trimite la System Settings › General › Login Items & Extensions. Permite acest lucru. Un client a cărui extensie nu este permisă se deschide, te autentifică și nu se conectează niciodată.
- Lasă activ elementul din fundal. Aceeași pagină de setări afișează clientul la Allow in the Background. Dezactivarea lui pentru a ordona lista este motivul pentru care tunelul nu se mai reconectează după suspendare.
- Autentifică-te în client și dă dispozitivului un nume care nu te identifică; numele este stocat de furnizor.
- Nu te conecta încă. Deschide mai întâi setările. Două dintre cele trei setări de mai jos sunt dezactivate implicit în majoritatea clienților.
Cele trei setări care merită verificate
Meniurile clienților diferă, dar setările nu. Pentru fiecare dintre cele trei există o intrare în glosar, dacă denumirea nu îți este familiară.
Întrerupătorul de urgență
Blochează tot traficul dacă tunelul cade, în loc să permită în liniște revenirea conexiunii la rețeaua obișnuită. De obicei este dezactivat implicit, deoarece produsul pare mai puțin fiabil — un tunel căzut devine o conexiune întreruptă, nu una care a căzut fără să observi, iar acesta este întregul său scop. Activează-l. Dacă clientul deosebește între un întrerupător care se aplică doar cât timp ești conectat și unul care se aplică permanent, alege-l pe al doilea: un Mac care se trezește pe o rețea Wi-Fi necunoscută petrece câteva secunde pe rețeaua neprotejată înainte ca clientul să se reconecteze, iar aceea este lacuna care contează. Scopul întrerupătorului este explicat pe pagina dedicată.
DNS în tunel
Solicitările de rezolvare a numelor pot părăsi Mac-ul în afara tunelului chiar și atunci când restul traficului este în interiorul lui, ceea ce îi spune rețelei ce site-uri ai vizitat și ascunde doar ce ai făcut acolo. Caută DNS leak protection, use provider DNS sau un câmp DNS personalizat și setează-l la resolverul furnizorului, nu la unul terț. Ai încredințat deja furnizorului traficul; o a doua parte care vede doar solicitările de rezolvare mărește numărul părților fără să reducă ceea ce știe vreuna dintre ele. Modul în care apare o scurgere este explicat pe pagina despre scurgerile DNS.
Protocolul
Lasă protocolul modern implicit, cu excepția cazului în care ceva nu funcționează — pagina despre protocoale indică ce protocoale sunt actuale și care sunt vechi. Dacă clientul oferă o opțiune mai veche pentru a remedia o problemă de conectare, este un compromis pe care trebuie să îl faci în cunoștință de cauză și apoi să îl anulezi: registrul marchează cel mai slab protocol oferit încă de un furnizor, iar selectarea manuală a acestuia înseamnă să alegi pentru tine acea marcă.
Confirmă că funcționează cu adevărat
Conectează-te, apoi verifică în loc să presupui. Trei verificări, în această ordine, toate gratuite și fără să necesite software:
- Adresa ta s-a schimbat. Deschide orice pagină de tipul „care este adresa mea IP” și confirmă că țara corespunde ieșirii alese. Dacă afișează țara ta, deși clientul spune că este conectat, extensia rulează, dar traficul nu trece prin ea.
- Solicitările de rezolvare sunt în tunel. Rulează un test pentru scurgeri DNS și citește resolverele raportate. Orice resolver aparținând furnizorului tău de internet înseamnă că setarea DNS de mai sus nu a fost aplicată.
- Întrerupătorul de urgență face ceea ce promite. Cu o descărcare în desfășurare, deschide Activity Monitor, găsește procesul helper sau daemon al clientului — acesta poartă numele furnizorului — și închide-l forțat, astfel încât tunelul să cadă fără ca închiderea să fie cerută clientului. Transferul ar trebui să se oprească imediat. Dacă continuă, întrerupătorul este doar decorativ.
Bateria mai lungă de teste și ce poate sau nu poate arăta fiecare este prezentată în propriul ghid.
Ce demonstrează aceste verificări
+Traficul tău pleacă prin serverul de ieșire, din țara selectată
+Rețeaua la care ești conectat nu mai poate citi ce site-uri accesezi
+Un tunel căzut eșuează în stare închisă, în loc să revină în liniște la conexiunea obișnuită
Ce nu demonstrează
−Nu spun nimic despre ce păstrează furnizorul — aceasta este o întrebare despre documente, la care răspund paginile despre jurnale
−Nu te fac anonim: browserul și autentificările tale rămân neschimbate; vezi de ce nu te protejează un VPN
−Un test de scurgeri trecut astăzi nu este o promisiune pentru actualizarea de mâine a clientului
Suspendare, revenire și rețele Wi-Fi necunoscute
Un laptop este dispozitivul care se deschide pe rețele pe care nu le-a mai întâlnit, iar un Mac face partea periculoasă — se conectează la Wi-Fi, verifică poșta, sincronizează — în primele secunde după ridicarea capacului, înainte ca vreun client să se fi reconectat. Două setări închid această fereastră. Conectarea automată în client, astfel încât reconectarea să fie sarcina clientului, nu a ta; și întrerupătorul de urgență permanent activ de mai sus, astfel încât Mac-ul să nu trimită nimic până la reconectare. Cu ambele active, o rețea de cafenea vede un laptop care s-a conectat și apoi a tăcut până când tunelul a fost activat. Ce poate citi altfel o astfel de rețea este explicat pe pagina despre Wi-Fi public.
Dacă un client oferă o listă de rețele de încredere pe care rămâne dezactivat, ține lista scurtă. Rețeaua de acasă se află pe ea pentru că acolo este imprimanta, nu pentru că furnizorul de internet din spatele ei nu vede traficul.
Când nu funcționează
Clientul se instalează, dar nu se conectează niciodată
Aproape întotdeauna este vorba despre aprobare. Deschide System Settings > General > Login Items & Extensions și caută la Network Extensions: clientul trebuie permis acolo, iar solicitarea afișată poate fi închisă ușor din greșeală în timpul instalării.
Dacă este permis și tot nu se întâmplă nimic, elimină clientul cu propriul program de dezinstalare, repornește sistemul și instalează-l din nou, astfel încât solicitarea să apară a doua oară.
Tunelul dispare de fiecare dată când Mac-ul revine din suspendare
Este comportamentul așteptat fără conectare automată: interfața de rețea coboară odată cu închiderea capacului, iar clientul așteaptă să i se ceară conectarea. Activează conectarea automată a clientului sau setarea de conectare la rețele nesigure, iar reconectarea va avea loc înainte să termini de introdus parola.
Cu întrerupătorul de urgență activ, secundele dintre revenire și reconectare înseamnă o conexiune întreruptă, nu o scurgere. Așa funcționează întrerupătorul.
AirDrop, o imprimantă sau televizorul nu mai funcționează cât timp sunt conectat
Și traficul local intră în tunel, iar imprimanta nu se află de cealaltă parte a acestuia. Majoritatea clienților au o setare numită acces la rețeaua locală, acces LAN sau tunelare divizată; activarea ei trimite adresele din propria rețea în afara tunelului și lasă restul în interior.
Este sigură într-o rețea administrată de tine. Într-o rețea pe care nu o administrezi, las-o dezactivată.
Versiunii din App Store îi lipsește o setare existentă în versiunea de pe site
Cele două versiuni sunt programe diferite. Versiunea din magazin rulează în sandbox-ul Apple, iar unele funcții ale unui client VPN — un întrerupător de urgență activ la pornire, tunelare divizată pe aplicații — nu sunt posibile în interiorul acestuia. Descărcarea de pe site-ul furnizorului este clientul mai complet.
Dacă ai instalat deja versiunea din magazin și ai nevoie de setarea respectivă, dezinstaleaz-o mai întâi; două versiuni instalate în paralel se luptă pentru aceeași extensie de rețea.
Aceiași pași, alte mașini
Restul platformelor
Fiecare platformă are propriul ei ghid, nu o filă pe acesta. Pașii diverg imediat ce se deschide instalatorul, iar o pagină care răspunde pentru trei platforme deodată nu răspunde corect pentru niciuna.