VPN del Mac encallat a «Desconnectant»: què s'executa realment

Desconnectar és una transició, no un túnel aturat. Comproveu quin component té la desmuntada, llegiu rutes i DNS i eviteu matar processos en bloc.

«Desconnectant» és un estat que el client informa mentre desmunta un túnel, no un veredicte que el trànsit s'hagi aturat. Al Mac aquesta desmuntada es fa com una seqüència curta, i l'etiqueta només canvia quan el component que posseeix la connexió torna a informar. Quan un pas espera un auxiliar, un connector o una decisió de política, l'etiqueta pot quedar-se allà després que la interfície hagi desaparegut, o el túnel pot continuar reenviant mentre el menú encara el mostra. Tracteu el text com «desmuntada en curs, resultat desconegut» i esbrineu quina meitat és certa.

Dues fallades semblen idèntiques des de la barra de menús i demanen respostes oposades. En una, el túnel encara porta paquets i només la visualització és obsoleta. En l'altra, el túnel ha desaparegut però una política separada manté el trànsit bloquejat, cosa sovint deliberada. Les rutes i l'estat del DNS les separen més de pressa que qualsevol interacció amb el menú.

Què segueix l'etiqueta

Un client VPN manté una petita màquina d'estats, i la barra de menús és una projecció seva. Per a una connexió gestionada pel mateix macOS, aquesta màquina és al marc VPN del sistema. Per a un túnel gestionat per una aplicació, és a l'aplicació i al seu auxiliar amb privilegis. L'últim pas d'una aturada no és tancar un sòcol. És alliberar allò que feia funcionar el túnel: la interfície utun, les rutes que hi apuntaven, les entrades de resolutor que el client va injectar i qualsevol regla de tallafoc o política que bloquejava el trànsit mentre hi havia connexió.

Aquests passos són separats, així que una aturada es pot encallar en qualsevol d'ells. Un auxiliar que deixa de respondre, una ruta que també reclama una segona interfície o una entrada de resolutor que posseeix un altre perfil poden deixar el client esperant. L'etiqueta és un informe sobre el progrés del mateix client, cosa que la fa autoritària sobre la intenció i poc fiable sobre la xarxa.

Trobeu el component que posseeix la connexió

Per a configuracions natives, scutil --nc list imprimeix els serveis que el sistema coneix i el seu estat, i scutil --nc status "Work VPN" dóna detall d'un servei. Un túnel mantingut per una aplicació de tercers pot no aparèixer gens en aquesta llista, així que un resultat buit no és prova que no hi hagi res connectat.

Quan el perfil pertany a una aplicació, confieu en la seva vista d'estat i en el control «Desconnecta» documentat. Tancar la finestra no és una petició d'aturada si un auxiliar en segon pla posseeix el túnel; la icona desapareix i l'auxiliar manté la interfície viva. La referència de configuració de VPN d'Apple cobreix els controls natius i d'on vénen els paràmetres gestionats.

Llegiu interfícies, rutes i DNS

Tres comprovacions responen la major part de la pregunta sense tocar la connexió. Cal interpretar-les juntes, perquè qualsevol sola enganya.

scutil --nc list
netstat -rn -f inet | head -20
ifconfig | grep -A 3 '^utun'
scutil --dns | head -30
  • hi ha interfície utun, una ruta per defecte o dividida hi passa, el resolutor apunta al proveïdor: el túnel encara és actiu i l'etiqueta és obsoleta.
  • cap utun, ruta per defecte ordinària, DNS per DHCP, sense internet: una política que bloqueja en desconnectar fa la seva feina.
  • cap utun, cap ruta, el resolutor encara apunta al proveïdor: la desmuntada s'ha aturat a mig camí i el DNS és la resta per netejar.

Després envieu una petició a un amfitrió intern que només hauria de respondre pel túnel i una a un amfitrió públic. L'abastabilitat separa la política de l'estat romanent sense convertir la comprovació en un exercici de mesura. Deseu primer la feina remota si el camí encara respon, i prepareu una segona via d'entrada abans de canviar la xarxa en una màquina que administreu en remot.

Per què enganyen les morts en bloc i l'esborrat del perfil

Noms de procés com pppd, racoon i configd pertanyen a implementacions concretes. Matar-los pot afectar altres connexions, deixa rutes i interfícies utun darrere i no us dóna cap registre de quin pas s'havia encallat. Un nom de procés antic tampoc no és prova que posseeixi el perfil actual.

Esborrar i recrear el perfil és un canvi més gran que netejar una transició encallada. Pot descartar paràmetres gestionats i material d'identitat local sense explicar què ha fallat, i en un Mac supervisat pot ser simplement restaurat. Reserveu l'eliminació per a una configuració realment obsoleta i diagnostiqueu la transició.

Una seqüència d'aturada que deixa rastre

L'ordre següent deixa els controls propis de la connexió al comandament i produeix un registre si l'encallament torna. També us evita convertir un problema de visualització en un canvi de xarxa.

  1. Deseu la feina remota i confirmeu que podeu arribar al Mac d'una altra manera si és remot.
  2. Anoteu el nom del client, la versió i el perfil. Captureu una finestra curta amb log show --last 5m --predicate 'subsystem == "com.apple.networkextension"'; les versions antigues guarden menys historial, així que executeu-ho aviat després de l'encallament.
  3. Useu el control «Desconnecta» documentat, espereu i després repetiu les comprovacions d'interfície i rutes.
  4. Si l'etiqueta és obsoleta però el túnel està caigut, deixeu-la i permeteu que el client s'actualitzi en lloc de forçar processos.
  5. Si la desmuntada s'ha encallat de debò, reinicieu el client i després planifiqueu un reinici del Mac un cop la feina sigui desada. Les màquines gestionades necessiten el procediment de l'administrador.

Després de la recuperació, confirmeu que la ruta per defecte ordinària i el resolutor DHCP han tornat, i que el trànsit bloquejat o bé s'ha restaurat o bé continua bloquejat a propòsit. Anoteu el perfil i la versió del client amb el símptoma, perquè la propera aparició comenci amb proves i no amb una suposició de la barra de menús.

Articles relacionats