Wat regtig verander wanneer jy gestoorde VPN-konfigurasies op macOS wissel
Om ’n gestoorde Mac-VPN te wissel is nie ’n profielruil nie. Sien wat in roetes, DNS en geloofsbriewe verander, en hoe om die tonnel te verifieer wat jy werklik gekry het.
Jy maak die VPN-lys oop, kies die ander gestoorde inskrywing en verwag ’n skoon wissel: ’n nuwe uitgangsadres en alles anders onveranderd. Dit is die aanname wat jy eerste moet laat vaar. Op macOS is ’n gestoorde VPN ’n volledige netwerkdiens eerder as ’n voorafinstelling, so om dienste te wissel kan roetering, DNS en verifikasie gelyktydig verander. Die kieslysbalk wys watter diens aktief is; dit sê nie of die tonnel daaronder by jou bedoeling pas nie.
Die gestoorde lys is nie ’n profielkeuse nie
Elke inskrywing in Stelselinstellings > Netwerk is sy eie diens, met sy eie bedieneradres, rekening, verifikasiemetode, DNS-bedieners en opsies soos Stuur alle verkeer oor die VPN-verbinding. Stelselvoorkeure hou dieselfde lys op ouer weergawes. Twee inskrywings kan na dieselfde gasheernaam wys en steeds anders optree, want die protokol of die kliëntuitbreiding bepaal hoe die tonnel gebou word.
Derdeparty-kliënte hou aparte lyste. Tunnelblick lees konfigurasies uit sy eie vouer, WireGuard hou sy eie tonnellys, en OpenVPN Connect stoor profiele binne die program. Sommige registreer ’n konfigurasie by die stelsel; ander hou alles binne die program en verskyn nooit in die ingeboude lys nie. “Wissel na die gestoorde een” beteken dus verskillende handelinge, afhangend van watter program die profiel besit.
scutil --nc list druk die VPN-dienste af wat by die stelselkonfigurasie geregistreer is, met name tussen aanhalingstekens. Gebruik daardie presiese name wanneer jy ’n wissel skrip, en moenie aanvaar dat die lys elke derdeparty-tonnel dek nie.
Wat ’n wissel werklik verander
Vier dinge beweeg saam wanneer die aktiewe diens verander. Die verstekroete volg die nuwe tonnel as daardie diens alle verkeer stuur; die oplosserlys verander na die DNS-bedieners wat die diens spesifiseer; nuwe verbindings neem die nuwe tonneladres as hul bron; en die geloofsbriewe in gebruik behoort aan die nuwe diens. ’n Inheemse konfigurasie en ’n programprofiel is nie uitruilbaar nie, selfs wanneer albei by dieselfde poort eindig.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
Die DNS-deel verras mense. macOS handhaaf ’n oplosservolgorde, en scutil --dns wys watter oplossers gebruik word en op watter koppelvlak. ’n VPN-diens sonder DNS-bedieners kan die Wi-Fi-oplosser laat antwoord, so jy kry ’n nuwe openbare adres met die ou DNS-gedrag en kom tot die gevolgtrekking dat die wissel half gewerk het.
Waarom die ou konfigurasie bly terugkeer
As jy ontkoppel en dieselfde diens ’n oomblik later weer verbind, kyk eerste na On Demand. ’n Reël vir verbind op aanvraag kan ’n diens terugbring wanneer ’n program ’n passende domein oplos, en ’n bestuursprofiel kan dieselfde reël afdwing. Om die inskrywing te skrap maak dit selde reg: ’n profielgeïnstalleerde konfigurasie kom gewoonlik terug by die volgende profielverfrissing, en ’n handleiding een kan sy wagwoord in Keychain agterlaat terwyl die diens weg is.
Om ’n tweede diens te begin stop nie altyd die eerste nie. Afhangend van die kliënt en protokol kan jy met twee tonnels en twee stelle roetes eindig, en diensorde plus roetespesifisiteit bepaal watter een verkeer dra, nie die ikoon wat jy laas geklik het nie. Kontroleer die koppelvlakke voordat jy aanvaar dat ’n wissel plaasgevind het.
Verifieer die tonnel, nie die merk nie
Werk deur die stelsel se eie siening voordat jy aan instellings raak.scutil --nc status "Name" rapporteer wat die stelsel glo;ifconfig wys of ’n utun koppelvlak ’n adres het;netstat -rn -f inet wys waar die verstekroete heen wys;scutil --dns wys watter oplosser werklik in gebruik is. Maak dan ’n vars verbinding oop en bevestig die uitgangsadres, want ’n bladsy wat reeds aangemeld was, gebruik dalk nog ’n sokkie wat aan die ou tonnel gebind is.
As DNS steeds vanaf die plaaslike netwerk antwoord, vergelyk die diens se gekonfigureerde bedieners met die oplosserlys. As die verstekroete steeds na die fisiese koppelvlak wys, is die diens split-tonnel of nie volledig verbind nie. Albei is konfigurasie-uitkomste, nie bewys van ’n stukkende kliënt nie.
’n Wisselorde wat verrassings vermy
- Let op die huidige diens en of ’n profiel dit bestuur.
- Ontkoppel dit eerste wanneer die twee tonnels nie saam kan bestaan nie.
- Verbind die teiken en wag vir Verbind, nie Besig om te verbind nie.
- Kontroleer die verstekroete, die oplosserlys en ’n vars uitgangsadres.
- Herbegin programme wat langdurige sessies hou.
Hou die ou inskrywing totdat die nuwe een daardie kontroles slaag, en gee elke inskrywing ’n eie naam; identiese etikette maak die volgende fout moeiliker om toe te skryf. Apple se Mac-hulp beskryf die inheemse kant by Stel ’n VPN-verbinding op Mac op, wat die verwysing is om na te gaan voordat jy ’n bestuurde konfigurasie wysig.
As die keuse terugspring, hanteer dit eerste as beleid of On Demand. Bevestig wie die konfigurasie besit en of dit op outomaties verbind gestel is, besluit dan of jy ’n diens wissel of teen ’n profiel veg.