El teu Mac reconnecta la VPN tot sol: revisa la regla sota demanda

Desconnectes la VPN i, trenta segons després, la icona de la barra de menús torna a ser-hi. No hi ha cap fantasma: les regles sota demanda del macOS inicien una connexió quan canvia la xarxa o quan alguna cosa demana un nom que la regla cobreix, i la regla pot viure en un perfil que no has escrit mai. Recórrer les comprovacions següents en ordre és més ràpid que reinstal·lar el client. La regla és una política, així que llegeix la política abans de lluitar-hi.

Què vigila realment la regla

La regla sota demanda té dos punts de decisió: la xarxa a què està connectat el Mac i un domini que alguna cosa intenta resoldre. Qualsevol dels dos pot aixecar el túnel, i per això buscar un nom intern inicia una VPN que ningú no ha obert. El desplegament també necessita una autenticació que funcioni sense cap persona present, i per això les solucions basades en certificats dominen les flotes gestionades.

Al costat de la política del sistema hi pot haver una opció de reconnexió per aplicació, així que la primera pregunta és quin mecanisme ha reconnectat el túnel. Comprova primer la política del sistema, després el client i només al final qui ha clicat Desconnecta. La majoria de preferències del client que semblen responsables no ho són. Aquest ordre importa perquè la política del sistema guanya per defecte, i un paràmetre a nivell de client només pot explicar els casos que la política no cobreix.

De qui és la política i què costa treure-la

Llegeix el perfil instal·lat i els controls de client admesos abans de canviar-ne cap. Si el Mac està gestionat, les condicions estan documentades en algun lloc, i demanar aquest document és millor que fer enginyeria inversa d’SSID i dominis des de fora.

El material de confiança del Mac es comparteix amb tots els altres serveis que el fan servir, així que la revocació és l’últim pas i no el primer. Treu el perfil que posseeix la regla i després confirma que la regla deixa d’activar-se abans de tocar cap certificat. Un perfil mig tret és exactament la raó per la qual la gent conclou que el comportament és aleatori. Les dues ordres que mostren què hi ha instal·lat val la pena conservar-les:

profiles show -type configuration
scutil --nc list

Què no demostra reconnectar

Reconnectar sota demanda no diu res sobre el buit: mentre el túnel puja, el trànsit encara pot sortir per la interfície física si una política separada no el reté. Bloquejar abans que el túnel existeixi és un paràmetre diferent d’iniciar el túnel. Una màquina que reconnecta de seguida encara pot filtrar durant els primers segons.

L’abast de les rutes és una tercera pregunta, perquè una regla que inicia el túnel no diu res sobre els prefixos que porta. Confirma què encamina la connexió en lloc de suposar que reconnectar significa cobertura completa. Prova-ho deliberadament: tanca el client, confirma que el servei està aturat i després demana el recurs que la regla ha de protegir.

Anota el desencadenant, no la icona

Apunta què ha aixecat el túnel: unir-se a una xarxa, obrir una aplicació, resoldre un nom privat, despertar-se de la son. Fixa’t en quan passa i no només que passa, perquè la seqüència és la prova. Un desencadenant concret val més que una captura de pantalla de la icona.

Després verifica el recurs un cop la connexió ha pujat. La barra de menús demostra que un servei funciona, no que la destinació que necessites hi sigui abastable. Aquestes dues coses poden divergir per motius del tot ordinaris, com ara una ruta que apunta a un altre lloc.

Quan la regla inicia la connexió equivocada

Una connexió que s’inicia quan no toca sol venir d’un perfil obsolet, d’una condició de domini més àmplia del previst o de dues configuracions que competeixen per la mateixa xarxa. Totes tres són visibles a la configuració instal·lada, i cap no es fa més clara activant i desactivant el servei.

Porta el desencadenant, el propietari del perfil i el comportament previst a qui gestiona la política. La documentació d’Apple sobre sota demanda és el vocabulari compartit per a aquesta conversa, i és més curta que la discussió. Demana un canvi de política en lloc d’una retirada, i totes dues bandes conserven una configuració que funciona.