Què canvia realment quan canvieu configuracions VPN desades al macOS
Canviar una VPN desada del Mac no és intercanviar un perfil. Mireu què canvia en rutes, DNS i credencials, i com verificar el túnel que realment teniu.
Obriu la llista de VPN, trieu l’altra entrada desada i espereu un canvi net: una adreça de sortida nova i la resta sense canvis. Aquesta és la suposició que cal abandonar primer. Al macOS, una VPN desada és un servei de xarxa complet i no una predefinició, així que canviar de servei pot modificar alhora l’encaminament, el DNS i l’autenticació. La barra de menús diu quin servei és actiu; no diu si el túnel de sota coincideix amb el que volíeu.
La llista desada no és un selector de perfils
Cada entrada de Configuració del Sistema > Xarxa és un servei propi, amb la seva adreça de servidor, el seu compte, el seu mètode d’autenticació, els seus servidors DNS i opcions com Envia tot el trànsit per la connexió VPN. Les versions antigues tenen la mateixa llista a Preferències del Sistema. Dues entrades poden apuntar al mateix nom d’amfitrió i comportar-se diferent, perquè el protocol o l’extensió del client decideix com es construeix el túnel.
Els clients de tercers mantenen llistes separades. El Tunnelblick llegeix configuracions de la seva pròpia carpeta, el WireGuard té la seva llista de túnels i l’OpenVPN Connect desa perfils dins de l’aplicació. Alguns registren una configuració al sistema; d’altres ho guarden tot dins de l’aplicació i no apareixen mai a la llista integrada. Per tant, «canviar a la desada» vol dir accions diferents segons quina aplicació posseeix el perfil.
scutil --nc list imprimeix els serveis VPN registrats a la configuració del sistema, amb els noms entre cometes. Feu servir aquests noms exactes quan programeu un canvi, i no doneu per fet que la llista cobreixi tots els túnels de tercers.
Què canvia realment un canvi
Quatre coses es mouen alhora quan canvia el servei actiu. La ruta per defecte segueix el túnel nou si aquest servei envia tot el trànsit; la llista de resolutors passa als servidors DNS que especifica el servei; les connexions noves prenen l’adreça del túnel nou com a origen; i les credencials en joc pertanyen al servei nou. Una configuració nativa i un perfil d’aplicació no són intercanviables, encara que tots dos acabin a la mateixa passarel·la.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
La part del DNS és la que enganya la gent. El macOS manté un ordre de resolutors, i scutil --dns mostra quins resolutors són en ús i en quina interfície. Un servei VPN sense servidors DNS configurats pot deixar que respongui el resolutor del Wi-Fi, així que obteniu una adreça pública nova amb el comportament DNS antic i concloeu que el canvi va funcionar a mitges.
Per què torna la configuració antiga
Si us desconnecteu i el mateix servei es reconnecta un moment després, mireu primer On Demand. Una regla de connexió a demanda pot fer tornar un servei quan una aplicació resol un domini coincident, i un perfil de gestió pot imposar la mateixa regla. Esborrar l’entrada poques vegades ho arregla: una configuració instal·lada per perfil sol tornar a la següent actualització del perfil, i una de manual pot deixar la contrasenya al Keychain mentre el servei ja no hi és.
Iniciar un segon servei no sempre atura el primer. Segons el client i el protocol, podeu acabar amb dos túnels i dos conjunts de rutes, i l’ordre dels serveis i l’especificitat de la ruta decideixen quin porta el trànsit, no la icona que vau clicar al final. Comproveu les interfícies abans de donar per fet que hi ha hagut un canvi.
Verifiqueu el túnel, no la marca de verificació
Recorreu la visió del propi sistema abans de tocar la configuració.scutil --nc status "Name" informa del que creu el sistema;ifconfig mostra si una interfície utun té adreça;netstat -rn -f inet mostra on apunta la ruta per defecte;scutil --dns mostra el resolutor que s’usa realment. Després obriu una connexió nova i confirmeu l’adreça de sortida, perquè una pàgina que ja tenia la sessió oberta pot estar fent servir un socket lligat al túnel antic.
Si el DNS encara respon des de la xarxa local, compareu els servidors configurats del servei amb la llista de resolutors. Si la ruta per defecte encara apunta a la interfície física, el servei és d’encaminament dividit o no està del tot connectat. Tots dos són resultats de configuració, no proves d’un client espatllat.
Un ordre de canvi que evita sorpreses
- Anoteu el servei actual i si algun perfil el gestiona.
- Desconnecteu-lo primer quan els dos túnels no poden coexistir.
- Connecteu el destí i espereu Connectat, no Connectant.
- Comproveu la ruta per defecte, la llista de resolutors i una adreça de sortida nova.
- Reinicieu les aplicacions que mantenen sessions llargues.
Conserveu l’entrada antiga fins que la nova passi aquestes comprovacions, i doneu a cada entrada un nom diferent; les etiquetes idèntiques fan més difícil atribuir la propera fallada. L’ajuda del Mac d’Apple descriu la part nativa a Configurar una connexió VPN al Mac, que és la referència que cal consultar abans d’editar una configuració gestionada.
Si la selecció reverteix, tracteu-ho primer com a política o On Demand. Confirmeu qui posseeix la configuració i si està definida per connectar automàticament, i després decidiu si canvieu un servei o lluitau contra un perfil.