Редът на услугите в macOS не управлява VPN маршрутите ви

Нещо на сайт се проваля, колега си спомня, че редът на услугите съществува, и Wi-Fi се влачи над Ethernet. Нищо не се променя, защото този списък никога не е решавал накъде отива дестинация на VPN. Apple дава на VPN връзките приоритет пред обикновените и ги държи извън това пренареждане, затова превключвателят отговаря на по-тесен въпрос от зададения. Провалът се нуждае от избрания маршрут и резолвера, а не от нова подредба.

Какво променя редът на услугите и какво никога не докосва

„Задаване на ред на услугите“ се намира в Системни настройки, Мрежа, в менюто Действие, и подрежда обикновените връзки, когато две или повече са активни. Тази подредба избира основната услуга, която осигурява маршрута по подразбиране и част от поведението на резолвера. Това е решаване на равенство между равностойни, а не превключвател за частни дестинации зад тунел. Лаптоп с Wi-Fi и USB Ethernet адаптер го използва, за да отговори на разумен въпрос, и този въпрос не е за тунела.

Профилът на VPN носи включени маршрути, изключени дестинации и понякога правила за отделни приложения, и те решават какво влиза в тунела; менюто за подредба не ги редактира. Затова профил с разделен тунел може да остави публичния трафик отвън, докато VPN все още е над всеки физически интерфейс. Плъзгането на Wi-Fi най-горе не може да направи частен диапазон достъпен и не може да спре дестинация, която профилът вече включва. Списъкът мести интерфейси; профилът мести префикси. Apple документира приоритета на страницата за ред на мрежовите услуги, която си струва да се прочете веднъж, преди да пренаредите нещо.

Прочетете маршрута, който машината действително е избрала

Попитайте машината накъде отива конкретен адрес с route get 10.20.4.10, после го повторете за IPv6 с route -n get -inet6 2001:db8::10. Двете семейства са отделни решения, затова работещ път за IPv4 не казва нищо за пътя за v6, а директно свързана подмрежа или по-конкретен префикс така или иначе побеждава общия етикет на връзката, което е точно причината етикетът да продължава да подвежда хората.

Ако изходът назове интерфейса на тунела, профилът е уловил дестинацията и подредбата е без значение. Ако назове физическия интерфейс, профилът не я е уловил и никакво плъзгане няма да промени таблицата с префикси. И двата изхода назовават и адреса на източника, който машината би използвала, и това е полето, което да цитирате, когато сравнявате две изпълнения. Запазете изхода, преди да промените каквото и да е, защото това е единственото доказателство, което ще имате после.

DNS резолвира по име, не по интерфейс

Обхватните и домейн-специфичните резолвери означават, че отговорът може да се различава по име, а не по интерфейс. scutil --dns отпечатва конфигурацията на резолвера, която системата действително използва, включително обхватните записи. Редът на услугите влияе коя услуга осигурява резолвера по подразбиране, но обхват за конкретно име може да победи независимо от това.

Затова ping към адрес може да работи, докато името на хоста се проваля, или обратното. Прочетете двата изхода, преди да изберете виновник.

Променете профила, после прочетете двата изхода отново

Когато политика за дестинации трябва да се промени, собственикът е профилът на VPN: включени маршрути, изключени маршрути и каквито правила за разделен тунел доставчикът поддържа. Смяната на интерфейси вместо това просто мести спора. На Mac, управляван отдалечено, първо запазете текущото състояние на мрежата, защото загубата на тунела на машина, до която не можете да стигнете, е пътуване, а не връщане назад.

Възпроизведете провала, прочетете маршрута, прочетете резолвера, променете едно нещо, после прочетете същите два изхода отново. Разбъркването на няколко услуги и профила наведнъж оставя машина, която никой не може да обясни, включително човекът, който я е поправил. Тестът е приключил, когато двата изхода съвпадат с промяната, която сте имали предвид. Ако те все още се разминават, профилът и машината описват две различни политики и профилът е този, който трябва да се промени.