ما الذي يتغيّر فعلاً عند تبديل إعدادات VPN المحفوظة على macOS
تبديل شبكة VPN محفوظة على Mac ليس مجرد استبدال ملف تعريف. تعرّف على ما يتغيّر في المسارات وDNS وبيانات الاعتماد، وكيف تتحقق من النفق الذي حصلت عليه فعلاً.
تفتح قائمة VPN، وتختار المدخل المحفوظ الآخر، وتتوقع تبديلاً نظيفاً: عنوان خروج جديد وكل شيء آخر كما هو. هذا هو الافتراض الذي يجب التخلي عنه أولاً. على macOS، شبكة VPN المحفوظة خدمة شبكة كاملة وليست إعداداً مسبقاً، لذا قد يغيّر تبديل الخدمات التوجيه وDNS والمصادقة في الوقت نفسه. يُظهر شريط القوائم أي خدمة نشطة؛ لكنه لا يخبرك هل النفق تحتها يطابق ما أردته.
القائمة المحفوظة ليست منتقي ملفات تعريف
كل مدخل في إعدادات النظام > الشبكة خدمة مستقلة، لها عنوان خادمها وحسابها وطريقة مصادقتها وخوادم DNS الخاصة بها وخيارات مثل إرسال كل حركة المرور عبر اتصال VPN. تحتفظ تفضيلات النظام بالقائمة نفسها في الإصدارات الأقدم. يمكن أن يشير مدخلان إلى اسم المضيف نفسه ويظل سلوكهما مختلفاً، لأن البروتوكول أو إضافة العميل يحددان كيفية بناء النفق.
تحتفظ عملاء الطرف الثالث بقوائم منفصلة. يقرأ Tunnelblick الإعدادات من مجلده الخاص، ويحتفظ WireGuard بقائمة أنفاقه، ويخزّن OpenVPN Connect ملفات التعريف داخل التطبيق. بعضها يسجّل إعداداً لدى النظام؛ وبعضها يحتفظ بكل شيء داخل التطبيق ولا يظهر أبداً في القائمة المدمجة. لذلك يعني «التبديل إلى المحفوظ» إجراءات مختلفة حسب التطبيق الذي يملك ملف التعريف.
scutil --nc list يطبع خدمات VPN المسجّلة في إعدادات النظام، مع الأسماء بين علامتي اقتباس. استخدم تلك الأسماء نفسها عندما تكتب سكربتاً للتبديل، ولا تفترض أن القائمة تغطي كل نفق من طرف ثالث.
ما الذي يغيّره التبديل فعلاً
أربعة أمور تتحرك معاً عندما تتغير الخدمة النشطة. يتبع المسار الافتراضي النفق الجديد إذا كانت تلك الخدمة ترسل كل الحركة؛ وتتغيّر قائمة المحلّلات إلى خوادم DNS التي تحددها الخدمة؛ وتتخذ الاتصالات الجديدة عنوان النفق الجديد مصدراً لها؛ وبيانات الاعتماد المستخدمة تخص الخدمة الجديدة. الإعداد الأصلي وملف تعريف التطبيق غير قابلين للتبادل، حتى عندما ينتهي كلاهما عند البوابة نفسها.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
جزء DNS هو ما يفاجئ الناس. يحافظ macOS على ترتيب للمحلّلات، و scutil --dns يُظهر أي المحلّلات قيد الاستخدام وعلى أي واجهة. قد تترك خدمة VPN بلا خوادم DNS محلّل Wi-Fi يجيب، فتحصل على عنوان عام جديد مع سلوك DNS القديم، وتستنتج أن التبديل نجح نصف نجاح.
لماذا يعود الإعداد القديم دائماً
إذا فصلت الاتصال وأعادت الخدمة نفسها الاتصال بعد لحظة، فانظر إلى «On Demand» قبل أي شيء آخر. يمكن لقاعدة الاتصال عند الطلب إعادة خدمة عندما يحل تطبيق نطاقاً مطابقاً، ويمكن لملف تعريف إداري فرض القاعدة نفسها. حذف المدخل نادراً ما يصلحه: الإعداد المثبّت بملف تعريف يعود عادة عند تحديث الملف التالي، والإعداد اليدوي قد يترك كلمته في Keychain بينما تختفي الخدمة.
بدء خدمة ثانية لا يوقف الأولى دائماً. حسب العميل والبروتوكول قد ينتهي بك الأمر بنفقين ومجموعتي مسارات، ويحدد ترتيب الخدمة وتحديد المسار أيهما يحمل الحركة، لا الأيقونة التي نقرتها أخيراً. افحص الواجهات قبل أن تفترض أن تبديلاً حدث.
تحقّق من النفق، لا من علامة الصح
اعمل على رؤية النظام نفسه قبل أن تلمس الإعدادات.scutil --nc status "Name" يبلّغ بما يعتقده النظام؛ifconfig يُظهر هل لواجهة utun عنوان؛netstat -rn -f inet يُظهر أين يشير المسار الافتراضي؛scutil --dns يُظهر المحلّل المستخدم فعلاً. ثم افتح اتصالاً جديداً وأكّد عنوان الخروج، لأن صفحة كانت مسجّلة الدخول قد تستخدم مقبساً مرتبطاً بالنفق القديم.
إذا كان DNS ما زال يجيب من الشبكة المحلية، فقارن خوادم الخدمة المضبوطة بقائمة المحلّلات. إذا كان المسار الافتراضي ما زال يشير إلى الواجهة الفيزيائية، فالخدمة بنفق منفصل أو غير متصلة بالكامل. كلاهما نتيجة إعداد، وليس دليلاً على عميل معطوب.
ترتيب تبديل يتجنّب المفاجآت
- دوّن الخدمة الحالية وهل يديرها ملف تعريف.
- افصلها أولاً عندما لا يستطيع النفقان التعايش.
- اتصل بالهدف وانتظر «متصل» لا «جارٍ الاتصال».
- افحص المسار الافتراضي وقائمة المحلّلات وعنوان خروج جديد.
- أعد تشغيل التطبيقات التي تحتفظ بجلسات طويلة.
أبقِ المدخل القديم حتى يجتاز الجديد تلك الفحوص، وأعط كل مدخل اسماً مميزاً؛ التسميات المتطابقة تجعل الفشل التالي أصعب في العزو. يصف دليل Mac من Apple الجانب الأصلي في إعداد اتصال VPN على Mac، وهو المرجع الذي يجب الرجوع إليه قبل تعديل إعداد مُدار.
إذا عاد الاختيار إلى الوراء، فتعامل معه أولاً كسياسة أو «On Demand». تأكد من يملك الإعداد وهل هو مضبوط على الاتصال التلقائي، ثم قرر هل تبدّل خدمة أم تصارع ملف تعريف.