Вашият Mac сам възстановява VPN връзката: проверете правилото при поискване

Изключвате VPN и тридесет секунди по-късно иконата в меню лентата отново е там. Нищо не е обсебено: правилата при поискване на macOS стартират връзка, когато мрежата се смени или когато нещо поиска име, което правилото покрива, и правилото може да живее в профил, който никога не сте писали. Преминаването през проверките по-долу по ред е по-бързо от преинсталиране на клиента. Правилото е политика, затова прочетете политиката, преди да се борите с нея.

Какво всъщност следи правилото

Правилото при поискване има две точки за решение: мрежата, към която е прикачен Mac, и домейн, който нещо се опитва да резолвира. Всяка от тях може да вдигне тунела, затова търсенето на вътрешно име стартира VPN, което никой не е отварял. Разгръщането също се нуждае от удостоверяване, което работи без човек наблизо, затова при управляваните паркове доминират схемите със сертификати.

До системната политика може да съществува опция за повторно свързване за всяко приложение, затова първият въпрос е кой механизъм е свързал тунела отново. Проверете първо системната политика, после клиента и едва след това онзи, който е натиснал Прекъсване. Повечето клиентски настройки, които изглеждат отговорни, се оказват, че не са. Този ред е важен, защото системната политика печели по подразбиране, а настройка на ниво клиент може да обясни само случаите, които политиката не покрива.

Кой притежава политиката и колко струва премахването

Прочетете инсталирания профил и поддържаните клиентски контроли, преди да промените което и да е от двете. Ако Mac се управлява, условията са документирани някъде и да поискате този документ е по-добре, отколкото да извличате SSID и домейни чрез обратно инженерство отвън.

Доверителният материал на Mac се споделя с всяка друга услуга, която го използва, затова оттеглянето е последна стъпка, а не първа. Премахнете профила, който притежава правилото, после потвърдете, че правилото спира да се задейства, преди да пипате сертификат. Наполовина премахнат профил е точно причината хората да заключат, че поведението е случайно. Двете команди, които показват какво е инсталирано, си струва да се запазят:

profiles show -type configuration
scutil --nc list

Какво не доказва повторното свързване

Повторното свързване при поискване не казва нищо за пролуката: докато тунелът се вдига, трафикът все още може да излиза през физическия интерфейс, освен ако отделна политика не го задържи. Блокирането преди съществуването на тунела е различна настройка от стартирането на тунела. Машина, която се свързва бързо, все още може да изтече през първите секунди.

Обхватът на маршрутите е трети въпрос, защото правило, което стартира тунела, не казва нищо за префиксите, които носи. Потвърдете какво маршрутизира връзката, вместо да предполагате, че повторното свързване означава пълно покритие. Тествайте го умишлено: затворете клиента, потвърдете, че услугата е спряна, после поискайте ресурса, който правилото трябва да защитава.

Запишете задействащото събитие, не иконата

Запишете какво е вдигнало тунела: присъединяване към мрежа, отваряне на приложение, резолвиране на частно име, събуждане от сън. Забележете кога се случва, а не само че се е случило, защото последователността е доказателството. Конкретно задействащо събитие струва повече от екранна снимка на иконата.

После проверете ресурса, след като връзката се вдигне. Меню лентата доказва, че услуга работи, а не че дестинацията, която ви трябва, е достъпна през нея. Двете могат да се разминат напълно обичайно, включително заради маршрут, който сочи другаде.

Когато правилото стартира грешната връзка

Връзка, която стартира, когато не бива, обикновено идва от остарял профил, по-широко от предвиденото условие за домейн или две конфигурации, които се състезават за една и съща мрежа. И трите се виждат в инсталираната конфигурация и никое от тях не става по-ясно от превключване на услугата.

Занесете задействащото събитие, собственика на профила и предвиденото поведение на онзи, който управлява политиката. Документацията на Apple за при поискване е общият речник за този разговор и е по-кратка от спора. Поискайте промяна на политиката, а не премахване, и двете страни запазват работеща настройка.