Vaš Mac sam ponovno povezuje VPN: provjerite pravilo na zahtjev

Prekinete VPN i trideset sekundi kasnije ikona u traci s izbornikom je ponovno tu. Ništa nije ukleto: macOS pravila na zahtjev pokreću vezu kad se mreža promijeni ili kad nešto zatraži ime koje pravilo pokriva, a pravilo može živjeti u profilu koji nikad niste napisali. Prolazak kroz provjere u nastavku redom brži je od ponovne instalacije klijenta. Pravilo je politika, pa pročitajte politiku prije nego se s njom borite.

Što pravilo zapravo promatra

Pravilo na zahtjev ima dvije točke odluke: mrežu na koju je Mac priključen i domenu koju nešto pokušava razriješiti. Bilo koja od njih može podići tunel, zato traženje internog imena pokreće VPN koji nitko nije otvorio. Postava također treba provjeru identiteta koja radi bez prisutne osobe, zato u upravljanim flotama prevladavaju rješenja temeljena na certifikatima.

Uz sistemsku politiku može postojati i opcija ponovnog povezivanja po aplikaciji, pa je prvo pitanje koji je mehanizam ponovno spojio tunel. Prvo provjerite sistemsku politiku, zatim klijenta i tek na kraju onoga tko je kliknuo Prekini vezu. Većina klijentskih postavki koje izgledaju odgovorno ispostavi se da nisu. Taj je redoslijed važan jer sistemska politika prema zadanome pobjeđuje, a postavka na razini klijenta može objasniti samo slučajeve koje politika ne pokriva.

Kome pripada politika i koliko košta uklanjanje

Pročitajte instalirani profil i podržane klijentske kontrole prije nego promijenite bilo što od toga. Ako se Macom upravlja, uvjeti su negdje dokumentirani, a traženje tog dokumenta bolje je od obrnutog inženjerstva SSID-ova i domena izvana.

Materijal povjerenja na Macu dijeli se sa svakom drugom uslugom koja ga koristi, pa je opoziv posljednji korak, a ne prvi. Uklonite profil koji posjeduje pravilo, zatim potvrdite da pravilo prestaje djelovati prije nego dirnete certifikat. Napola uklonjen profil upravo je razlog zašto ljudi zaključuju da je ponašanje slučajno. Dvije naredbe koje pokazuju što je instalirano vrijedi zadržati:

profiles show -type configuration
scutil --nc list

Što ponovno povezivanje ne dokazuje

Ponovno povezivanje na zahtjev ne govori ništa o praznini: dok se tunel podiže, promet ipak može izlaziti kroz fizičko sučelje ako ga ne zadrži zasebna politika. Blokiranje prije nego tunel postoji drukčija je postavka od pokretanja tunela. Stroj koji se brzo ponovno poveže ipak može procuriti tijekom prvih sekundi.

Opseg ruta treće je pitanje, jer pravilo koje pokreće tunel ne govori ništa o prefiksima koje nosi. Potvrdite što veza usmjerava umjesto da pretpostavite da ponovno povezivanje znači punu pokrivenost. Testirajte to namjerno: zatvorite klijenta, potvrdite da je usluga zaustavljena, zatim zatražite resurs koji pravilo treba štititi.

Zabilježite okidač, a ne ikonu

Zapišite što je podiglo tunel: pridruživanje mreži, otvaranje aplikacije, razrješavanje privatnog imena, buđenje iz sna. Primijetite kada se to dogodi, a ne samo da se dogodilo, jer je slijed dokaz. Konkretan okidač vrijedi više od snimke zaslona s ikonom.

Zatim provjerite resurs nakon što se veza podigne. Traka s izbornikom dokazuje da usluga radi, a ne da je odredište koje trebate dostupno kroz nju. To dvoje može se razići iz posve običnih razloga, uključujući rutu koja pokazuje negdje drugdje.

Kad pravilo pokrene pogrešnu vezu

Veza koja se pokrene kad ne bi trebala obično dolazi od zastarjelog profila, šireg uvjeta domene od predviđenog ili dviju konfiguracija koje se natječu za istu mrežu. Sve tri su vidljive u instaliranoj konfiguraciji i nijedna ne postaje jasnija uključivanjem i isključivanjem usluge.

Donesite okidač, vlasnika profila i namjeravano ponašanje onome tko upravlja politikom. Appleova dokumentacija o radu na zahtjev zajednički je rječnik za taj razgovor i kraća je od svađe. Tražite promjenu politike umjesto uklanjanja i obje strane zadržavaju radnu postavku.