Парадак службаў у macOS не кіруе вашымі маршрутамі VPN

Нешта на сайце не спрацоўвае, калега ўспамінае, што парадак службаў існуе, і Wi-Fi цягнуць вышэй за Ethernet. Нічога не змяняецца, бо гэты спіс ніколі не вырашаў, куды ідзе прызначэнне VPN. Apple дае VPN-злучэнням прыярытэт над звычайнымі і трымае іх па-за гэтым пераўпарадкаваннем, таму перамыкач адказвае на вузейшае пытанне, чым тое, якое задаюць. Збою патрэбны выбраны маршрут і рэзальвер, а не новы рэйтынг.

Што змяняе парадак службаў і чаго ён не кранае ніколі

«Задаць парадак службаў» знаходзіцца ў Сістэмных наладах, Сетка, у меню «Дзеянне», і ён ранжыруе звычайныя злучэнні, калі два ці больш актыўныя. Гэты рэйтынг выбірае асноўную службу, якая дае маршрут па змаўчанні і частку паводзін рэзальвера. Гэта развязанне нічыіх паміж роўнымі, а не перамыкач для прыватных прызначэнняў за тунэлем. Наўтбук з Wi-Fi і USB-адаптарам Ethernet выкарыстоўвае яго, каб адказаць на разумнае пытанне, і гэтае пытанне не пра тунэль.

Профіль VPN нясе ўключаныя маршруты, выключаныя прызначэнні і часам правілы для асобных праграм, і яны вырашаюць, што ўваходзіць у тунэль; меню парадку іх не рэдагуе. Таму профіль з раздзеленым тунэлем можа пакінуць публічны трафік звонку, пакуль VPN усё яшчэ вышэй за кожны фізічны інтэрфейс. Перацягванне Wi-Fi наверх не зробіць прыватны дыяпазон даступным і не спыніць прызначэнне, якое профіль ужо ўключае. Спіс рухае інтэрфейсы; профіль рухае прэфіксы. Apple дакументуе прыярытэт на старонцы парадку сеткавых службаў, якую варта прачытаць аднойчы, перш чым нешта перастаўляць.

Чытайце маршрут, які машына фактычна выбрала

Спытайце машыну, куды ідзе пэўны адрас, камандай route get 10.20.4.10, затым паўтарыце для IPv6 камандай route -n get -inet6 2001:db8::10. Дзве сям'і — асобныя рашэнні, таму працоўны шлях IPv4 нічога не кажа пра шлях v6, а непасрэдна падключаная падсетка ці больш пэўны прэфікс усё роўна перамагае агульную этыкетку злучэння, і менавіта таму этыкетка працягвае ўводзіць людзей у зман.

Калі вынік называе інтэрфейс тунэлю, профіль захапіў прызначэнне, і парадак не мае значэння. Калі ён называе фізічны інтэрфейс, профіль не захапіў, і ніякае перацягванне не зменіць табліцу прэфіксаў. Абодва вынікі таксама называюць адрас крыніцы, які машына выкарыстала б, і гэта поле, якое цытаваць пры параўнанні двух запускаў. Захавайце вынік, перш чым нешта змяніць, бо гэта адзіны доказ, які ў вас будзе потым.

DNS вырашае па імені, а не па інтэрфейсе

Абмежаваныя і даменныя рэзальверы азначаюць, што адказ можа адрознівацца па імені, а не па інтэрфейсе. scutil --dns друкуе канфігурацыю рэзальвера, якую сістэма фактычна выкарыстоўвае, уключаючы абмежаваныя запісы. Парадак службаў уплывае на тое, якая служба дае рэзальвер па змаўчанні, але абмежаванне для пэўнага імені можа перамагчы нягледзячы ні на што.

Таму ping да адраса можа працаваць, пакуль імя хаста не, або наадварот. Прачытайце абодва вынікі, перш чым выбіраць віноўніка.

Змяніце профіль, потым перачытайце абодва вынікі

Калі палітыка прызначэнняў мусіць змяніцца, уласнік — гэта профіль VPN: уключаныя маршруты, выключаныя маршруты і любыя правілы раздзеленага тунэлю, якія падтрымлівае пастаўшчык. Змена інтэрфейсаў замест гэтага проста пераносіць спрэчку. На Mac, які кіруецца аддалена, спачатку захавайце бягучы стан сеткі, бо страціць тунэль на машыне, да якой вы не дабярэцеся, — гэта паездка, а не адкат.

Узнавіце збой, прачытайце маршрут, прачытайце рэзальвер, змяніце адну рэч, потым зноў прачытайце тыя ж два вынікі. Перамешванне некалькіх службаў і профіляў адначасова пакідае машыну, якую ніхто не можа растлумачыць, уключаючы таго, хто яе выправіў. Тэст скончаны, калі абодва вынікі згодныя з зменаю, якую вы мелі на ўвазе. Калі яны ўсё яшчэ разыходзяцца, профіль і машына апісваюць дзве розныя палітыкі, і змяніць трэба профіль.