Ваш Mac сам перападключва VPN: праверце правіла па запатрабаванні

Вы адключаеце VPN, і праз трыццаць секунд значок у радку меню зноў на месцы. Нішто тут не містычнае: правілы macOS па запатрабаванні пачынаюць злучэнне, калі змяняецца сетка або калі нешта запытвае імя, якое пакрывае правіла, і гэтае правіла можа жыць у профілі, які вы ніколі не пісалі. Прайсці праверкі ніжэй па парадку хутчэй, чым пераўсталяваць кліент. Правіла — гэта палітыка, таму прачытайце палітыку, перш чым змагацца з ёй.

За чым правіла насамрэч сочыць

У правіла па запатрабаванні два пункты рашэння: сетка, да якой далучаны Mac, і дамен, які нешта спрабуе развязаць. Любы з іх можа ўзняць тунель, таму пошук унутранага імені запускае VPN, якую ніхто не адкрываў. Разгортванне таксама патрабуе аўтэнтыфікацыі, якая працуе без чалавека побач, таму ў кіраваных парках пераважаюць схемы на сертыфікатах.

Побач з сістэмнай палітыкай можа існаваць опцыя перападключэння для кожнай праграмы, таму першае пытанне — які механізм перападключыў тунель. Спачатку праверце сістэмную палітыку, потым кліент і толькі потым таго, хто націснуў Адключыць. Большасць налад кліента, якія выглядаюць адказнымі, насамрэч такімі не з'яўляюцца. Гэты парадак важны, бо сістэмная палітыка перамагае па змаўчанні, а налада на ўзроўні кліента можа тлумачыць толькі тыя выпадкі, якія палітыка не пакрывае.

Хто валодае палітыкай і колькі каштуе выдаленне

Прачытайце ўсталяваны профіль і падтрыманыя сродкі кіравання кліентам, перш чым змяняць хоць адно з гэтага. Калі Mac кіруецца, умовы недзе дакументаваныя, і запытаць гэты дакумент лепш, чым зваротнай інжынерыяй выцягваць SSID і дамены звонку.

Матэрыял даверу на Mac агульны для ўсіх іншых службаў, якія ім карыстаюцца, таму адкліканне — апошні крок, а не першы. Выдаліце профіль, які валодае правілам, затым пераканайцеся, што правіла перастала спрацоўваць, перш чым чапаць сертыфікат. Напалову выдалены профіль — гэта менавіта тое, з-за чаго людзі робяць выснову, што паводзіны выпадковыя. Дзве каманды, якія паказваюць усталяванае, варта пакінуць:

profiles show -type configuration
scutil --nc list

Што перападключэнне не даказвае

Перападключэнне па запатрабаванні нічога не кажа пра прамежак: пакуль тунель узнімаецца, трафік можа па-ранейшаму выходзіць праз фізічны інтэрфейс, калі асобная палітыка яго не ўтрымлівае. Блакаванне да ўзнікнення тунеля — гэта іншая налада, чым запуск тунеля. Машына, якая хутка перападключаецца, можа ўсё яшчэ ўцечы ў першыя секунды.

Ахоп маршрутаў — трэцяе пытанне, бо правіла, якое запускае тунель, нічога не кажа пра тое, якія прэфіксы ён нясе. Пераканайцеся, што менавіта маршрутызуе злучэнне, замест таго каб меркаваць, што перападключэнне азначае поўнае пакрыццё. Праверце гэта свядома: зачыніце кліент, пераканайцеся, што служба спыненая, затым запытайце рэсурс, які правіла павінна абараняць.

Запішыце трыгер, а не значок

Запішыце, што ўзняло тунель: далучэнне да сеткі, адкрыццё праграмы, развязанне прыватнага імені, абуджэнне ад сну. Заўважце, калі гэта адбываецца, а не толькі што адбылося, бо паслядоўнасць і ёсць доказ. Канкрэтны трыгер каштоўнейшы за здымак экрана са значком.

Затым праверце рэсурс пасля ўзняцця злучэння. Радок меню даказвае, што служба працуе, а не што патрэбны вам пункт прызначэння дасягальны праз яе. Гэтыя дзве рэчы могуць разыходзіцца з цалкам звычайных прычын, уключаючы маршрут, які вядзе кудысьці ў іншае месца.

Калі правіла запускае не тое злучэнне

Злучэнне, якое пачынаецца тады, калі не павінна, звычайна паходзіць ад састарэлага профілю, занадта шырокай умовы дамена або дзвюх канфігурацый, што спаборнічаюць за адну сетку. Усе тры відаць ва ўсталяванай канфігурацыі, і ніводная не робіцца зразумелай ад пераключэння службы.

Прынясіце трыгер, уладальніка профілю і меркаваныя паводзіны таму, хто кіруе палітыкай. Дакументацыя Apple пра рэжым па запатрабаванні — гэта агульная мова для такой размовы, і яна карацейшая за спрэчку. Прасіце змяніць палітыку, а не выдаліць, і абодва бакі захаваюць працуючую наладу.