Jou Mac herverbind die VPN vanself: kyk die op-aanvraag-reël na

Jy ontkoppel die VPN en dertig sekondes later is die ikoon in die kieslysbalk terug. Niks spook nie: macOS se op-aanvraag-reëls begin ’n verbinding wanneer die netwerk verander of wanneer iets vra na ’n naam wat die reël dek, en dié reël kan in ’n profiel woon wat jy nooit geskryf het nie. Om die kontroles hier onder in volgorde deur te werk, is vinniger as om die kliënt te herinstalleer. Die reël is ’n beleid, so lees die beleid voordat jy daarteen veg.

Waarna die reël werklik kyk

Op aanvraag het twee beslispunte: die netwerk waaraan die Mac gekoppel is, en ’n domein wat iets probeer oplos. Enigeen van die twee kan die tonnel oprig, en daarom begin die opsoek van ’n interne naam ’n VPN wat niemand oopgemaak het nie. Die ontplooiing het ook verifikasie nodig wat sonder ’n persoon teenwoordig werk, en daarom oorheers sertifikaatgebaseerde reëlings in bestuurde vlote.

’n Herverbindingsopsie per toepassing kan langs die stelselbeleid bestaan, so die eerste vraag is watter meganisme die tonnel herverbind het. Kontroleer eers die stelselbeleid, dan die kliënt, en eers daarna wie ook al op Ontkoppel geklik het. Die meeste kliëntvoorkeure wat verantwoordelik lyk, blyk dit nie te wees nie. Daardie volgorde maak saak, want die stelselbeleid wen by verstek, en ’n instelling op kliëntvlak kan net die gevalle verduidelik wat die beleid nie dek nie.

Wie besit die beleid, en wat kos verwydering

Lees die geïnstalleerde profiel en die ondersteunde kliëntbeheer voordat jy enigeen daarvan verander. As die Mac bestuur word, is die voorwaardes êrens gedokumenteer, en om daardie dokument te vra is beter as om SSID’s en domeine van buite af terug te ontleed.

Vertrouensmateriaal op die Mac word met elke ander diens gedeel wat dit gebruik, so herroeping is die laaste stap eerder as die eerste. Verwyder die profiel wat die reël besit, en bevestig dan dat die reël ophou vuur voordat jy aan ’n sertifikaat raak. ’n Halfverwyderde profiel is presies waarom mense aflei dat die gedrag toevallig is. Die twee opdragte wat wys wat geïnstalleer is, is die moeite werd om te hou:

profiles show -type configuration
scutil --nc list

Wat herverbinding nie bewys nie

Om op aanvraag te herverbind sê niks oor die gaping nie: terwyl die tonnel opkom, kan verkeer steeds deur die fisiese koppelvlak uitgaan tensy ’n aparte beleid dit keer. Om te blokkeer voordat die tonnel bestaan, is ’n ander instelling as om die tonnel te begin. ’n Masjien wat vinnig herverbind, kan steeds gedurende die eerste sekondes lek.

Roetebestek is ’n derde vraag, want ’n reël wat die tonnel begin, sê niks oor watter voorvoegsels dit dra nie. Bevestig wat die verbinding routeer in plaas daarvan om aan te neem dat ’n herverbinding volle dekking beteken. Toets dit doelbewus: sluit die kliënt af, bevestig dat die diens gestop is, en vra dan die hulpbron aan wat die reël veronderstel is om te beskerm.

Teken die sneller aan, nie die ikoon nie

Skryf neer wat die tonnel opgerig het: aansluit by ’n netwerk, oopmaak van ’n toepassing, oplos van ’n private naam, wakker word uit slaap. Let op wanneer dit gebeur eerder as net dat dit gebeur het, want die volgorde is die bewys. ’n Spesifieke sneller is meer werd as ’n skermbeeld van die ikoon.

Verifieer dan die hulpbron nadat die verbinding opgekom het. Die kieslysbalk bewys dat ’n diens loop, nie dat die bestemming wat jy nodig het daardeur bereikbaar is nie. Daardie twee kan om heeltemal gewone redes uiteenloop, insluitend ’n roete wat êrens anders heen wys.

Wanneer die reël die verkeerde verbinding begin

’n Verbinding wat begin wanneer dit nie moet nie, kom gewoonlik van ’n verouderde profiel, ’n domeinvoorwaarde wat breër is as bedoel, of twee konfigurasies wat om dieselfde netwerk meeding. Al drie is sigbaar in die geïnstalleerde konfigurasie, en nie een van hulle word duideliker deur die diens aan en af te skakel nie.

Neem die sneller, die profieleienaar en die bedoelde gedrag na wie ook al die beleid bestuur. Apple se dokumentasie oor op aanvraag is die gedeelde woordeskat vir daardie gesprek, en dit is korter as die argument. Vra vir ’n beleidsverandering eerder as ’n verwydering, en albei kante behou ’n werkende opstelling.