Руководство
Как настроить VPN на Mac
Какую из двух версий клиента установить, какое разрешение запрашивает macOS до создания туннеля, какие настройки стоит проверить и как убедиться, что туннель передаёт ваш трафик, а не просто показывает подключение. Написано для macOS 27.
Перед началом
Это руководство не выбирает провайдера за вас
Все шаги ниже одинаковы для любого провайдера, поэтому здесь не назван ни один из них. Выбор — отдельная задача; он делается в реестре, где решение принимается на основе опубликованного балла, а не страницы загрузки.
Устанавливайте клиент с собственного сайта провайдера или из Mac App Store, но никогда не из результатов поиска или с портала загрузок. Клиент VPN устанавливает сетевое расширение, которое видит каждый байт, отправляемый Mac; передача такого доступа перепакованному установщику — худшее, что можно сделать.
Установите клиент
- Если доступны оба варианта, выберите версию на сайте провайдера, а не в магазине. Версия из App Store работает внутри песочницы Apple, а песочница запрещает некоторые функции, ради которых нужен клиент VPN: аварийное отключение, действующее до входа в систему, и раздельную маршрутизацию по приложениям. Прямая загрузка обычно содержит полный клиент. Выбирайте версию из магазина только тогда, когда предлагается лишь она.
- Сначала войдите на сайте провайдера и скачайте клиент из раздела учётной записи, чтобы запущенный вами файл был получен из сеанса, подтвердившего наличие подписки.
- Откройте установщик и разрешите расширение, когда macOS запросит это. Система сообщит, что клиент хочет добавить сетевое расширение или конфигурацию VPN, и направит вас в «Системные настройки» › «Основные» › «Объекты входа и расширения». Разрешите его. Клиент с запрещённым расширением открывается и выполняет вход, но никогда не подключается.
- Оставьте фоновый объект включённым. На той же странице настроек клиент указан в разделе Разрешать работу в фоне. Отключив его ради порядка в списке, вы лишите туннель возможности переподключаться после выхода Mac из сна.
- Войдите в клиент и задайте устройству имя, по которому нельзя вас идентифицировать; это имя хранится у провайдера.
- Пока не подключайтесь. Сначала откройте настройки. В большинстве клиентов две из трёх настроек ниже по умолчанию отключены.
Три настройки, которые стоит проверить
Меню клиентов различаются, но настройки — нет. Для каждой из трёх настроек есть статья в глоссарии, если её название вам незнакомо.
Аварийное отключение
Оно блокирует весь трафик при разрыве туннеля, вместо того чтобы незаметно вернуть соединение в обычную сеть. Обычно эта функция отключена по умолчанию, потому что продукт кажется менее надёжным — разрыв туннеля превращается в полное отключение, а не остаётся незамеченным, и именно в этом весь смысл функции. Включите её. Если клиент различает режим, действующий только при подключении, и режим, работающий всегда, выберите второй: Mac, просыпающийся в незнакомой сети Wi-Fi, проводит несколько секунд в открытой сети, прежде чем клиент переподключится, и именно этот пробел имеет значение. Назначение функции описано на отдельной странице.
DNS внутри туннеля
Запросы имён могут уходить с Mac за пределы туннеля, даже когда всё остальное проходит внутри него. В таком случае ваша сеть узнаёт, какие сайты вы посещали, и скрывается только то, что вы там делали. Найдите настройки защиты от утечек DNS, использования DNS провайдера или пользовательское поле DNS и укажите собственный резолвер провайдера, а не сторонний. Вы уже доверяете провайдеру свой трафик; вторая сторона, видящая только запросы, увеличивает число осведомлённых сторон, но не уменьшает объём информации, доступной каждой из них. О том, как происходит утечка, рассказано на странице об утечках DNS.
Протокол
Оставьте современный вариант, выбранный по умолчанию, если только что-то не работает — на странице протоколов указано, какие из них актуальны, а какие устарели. Если клиент предлагает старый вариант для устранения проблемы с подключением, принимайте такой компромисс осознанно, а затем отмените его: реестр отмечает самый слабый протокол, который провайдер всё ещё предлагает, и ручной выбор этого протокола означает, что вы сами выбираете такой вариант.
Убедитесь, что всё действительно работает
Подключитесь, а затем проверьте результат, не полагаясь на предположения. Выполните три проверки в таком порядке — все они бесплатны и не требуют программ:
- Ваш адрес изменился. Откройте любую страницу «какой у меня IP» и убедитесь, что страна совпадает с выбранной точкой выхода. Если клиент показывает подключение, а страница — вашу страну, расширение работает, но трафик не проходит через него.
- Запросы проходят внутри туннеля. Запустите тест на утечки DNS и ознакомьтесь с указанными в нём резолверами. Если среди них есть принадлежащие вашему интернет-провайдеру, настройка DNS выше не сработала.
- Аварийное отключение выполняет своё назначение. Запустите загрузку, откройте «Мониторинг системы», найдите вспомогательный процесс или демон клиента — он содержит название провайдера — и принудительно завершите его, чтобы туннель разорвался без команды от клиента. Передача данных должна немедленно остановиться. Если она продолжается, функция существует только для вида.
Более полный набор проверок и описание того, что каждая из них может и не может показать, приведены в отдельном руководстве.
Что доказывают эти проверки
+Ваш трафик выходит через сервер точки выхода в выбранной вами стране
+Сеть, к которой вы подключены, больше не может видеть, какие сайты вы посещаете
+При разрыве туннеля соединение блокируется, а не незаметно возвращается в обычную сеть
Чего они не доказывают
−Они ничего не говорят о том, что хранит провайдер — это вопрос документов, на который отвечают страницы о хранении данных
−Они не делают вас анонимным: браузер и ваши учётные записи не меняются; см. от чего VPN вас не защищает
−Успешный тест на утечки сегодня не является обещанием для завтрашнего обновления клиента
Сон, пробуждение и незнакомая сеть Wi-Fi
Ноутбук подключается к сетям, которых раньше не видел, а Mac выполняет опасные действия — подключается к Wi-Fi, проверяет почту, синхронизируется — в первые секунды после открытия крышки, ещё до переподключения клиента. Это окно закрывают две настройки. Автоподключение в клиенте — тогда переподключение становится задачей клиента, а не вашей; и указанное выше аварийное отключение, действующее всегда — тогда до переподключения Mac ничего не отправляет. При включении обеих настроек сеть в кафе видит ноутбук, который подключился, а затем замолчал до установления туннеля. О том, что такая сеть может узнать в противном случае, рассказано на странице об общедоступном Wi-Fi.
Если клиент предлагает список доверенных сетей, в которых он остаётся отключённым, сделайте этот список коротким. Домашнюю сеть стоит включить в него из-за находящегося там принтера, а не потому, что интернет-провайдер за ней ничего не видит.
Если это не работает
Клиент устанавливается, но никогда не подключается
Почти всегда причина в разрешении. Откройте «Системные настройки» > «Основные» > «Объекты входа и расширения» и найдите раздел «Сетевые расширения»: клиент должен быть разрешён там, а запрос на разрешение легко случайно закрыть во время установки.
Если разрешение выдано, но ничего не происходит, удалите клиент с помощью собственного деинсталлятора, перезапустите Mac и установите клиент заново, чтобы запрос появился повторно.
Туннель исчезает каждый раз, когда Mac выходит из сна
Без автоподключения это ожидаемое поведение: сетевой интерфейс отключается вместе с закрытием крышки, а клиент ждёт команды. Включите автоподключение клиента или настройку подключения в недоверенных сетях — тогда переподключение произойдёт раньше, чем вы закончите вводить пароль.
При включённом аварийном отключении секунды между пробуждением и переподключением становятся не утечкой, а неработающим соединением. Значит, функция работает.
AirDrop, принтер или телевизор перестали работать во время подключения
Локальный трафик тоже направляется в туннель, а принтер находится по другую сторону от него. В большинстве клиентов есть настройка с названием «доступ к локальной сети», «доступ к LAN» или «раздельная маршрутизация»; её включение направляет адреса вашей собственной сети за пределы туннеля, а всё остальное оставляет внутри него.
Это безопасно в сети, которой управляете вы. В чужой сети оставьте настройку отключённой.
В версии из App Store отсутствует настройка, которая есть в версии с сайта
Это две разные программы. Версия из магазина работает внутри песочницы Apple, а некоторые функции клиента VPN — аварийное отключение, действующее при загрузке системы, и раздельная маршрутизация по приложениям — внутри неё невозможны. Собственная загрузка провайдера содержит более полный клиент.
Если вы уже установили версию из магазина и вам нужна эта настройка, сначала удалите её: две версии, работающие одновременно, конфликтуют из-за одного и того же сетевого расширения.
Те же шаги, другие устройства
Остальные платформы
У каждой платформы своё отдельное руководство, а не вкладка в этом. Шаги расходятся сразу после запуска установщика, а страница, отвечающая сразу на три платформы, не отвечает толком ни на одну.