Váš Mac se sám připojuje k VPN: zkontrolujte pravidlo na vyžádání

Odpojíte VPN a o třicet sekund později je ikona v řádku nabídek zpátky. Nic tu nestraší: pravidla na vyžádání v macOS zahájí připojení, když se změní síť nebo když něco požádá o jméno, které pravidlo pokrývá, a pravidlo může žít v profilu, který jste nikdy nenapsali. Projít kontroly níže popořadě je rychlejší než přeinstalovat klienta. Pravidlo je zásada, tak si zásadu přečtěte, než proti ní budete bojovat.

Na co pravidlo vlastně dohlíží

Pravidlo na vyžádání má dva rozhodovací body: síť, ke které je Mac připojen, a doménu, kterou se něco snaží přeložit. Kterýkoli z nich může tunel zvednout, a proto vyhledání interního jména spustí VPN, kterou nikdo neotevřel. Nasazení také potřebuje ověřování, které funguje bez přítomné osoby, a proto v řízených flotilách převažují řešení založená na certifikátech.

Vedle systémové zásady může existovat volba opětovného připojení pro jednotlivé aplikace, takže první otázka je který mechanismus tunel znovu připojil. Nejprve zkontrolujte systémovou zásadu, potom klienta a teprve nakonec toho, kdo klikl na Odpojit. Většina klientských předvoleb, které vypadají odpovědně, se takovými neukáže. Na tom pořadí záleží, protože systémová zásada ve výchozím stavu vyhrává a nastavení na úrovni klienta může vysvětlit jen případy, které zásada nepokrývá.

Komu zásada patří a co stojí odstranění

Přečtěte si nainstalovaný profil a podporované klientské ovládací prvky, než změníte kterýkoli z nich. Je-li Mac spravovaný, podmínky jsou někde zdokumentované, a požádat o ten dokument je lepší než reverzně inženýrovat SSID a domény zvenku.

Materiál důvěry na Macu je sdílený se všemi ostatními službami, které jej používají, takže odvolání je poslední krok, ne první. Odeberte profil, kterému pravidlo patří, pak potvrďte, že pravidlo přestalo zasahovat, než se dotknete certifikátu. Napůl odebraný profil je přesně důvod, proč lidé usuzují, že chování je náhodné. Dva příkazy, které ukazují, co je nainstalováno, stojí za to si nechat:

profiles show -type configuration
scutil --nc list

Co opětovné připojení nedokazuje

Opětovné připojení na vyžádání neříká nic o mezeře: zatímco tunel nabíhá, provoz může stále odcházet fyzickým rozhraním, pokud jej nezdrží samostatná zásada. Blokovat dřív, než tunel existuje, je jiné nastavení než tunel spustit. Stroj, který se připojí rychle, může během prvních sekund stále unikat.

Rozsah tras je třetí otázka, protože pravidlo, které tunel spustí, neříká nic o prefixech, které nese. Potvrďte, co připojení směruje, místo abyste předpokládali, že opětovné připojení znamená plné pokrytí. Otestujte to záměrně: ukončete klienta, potvrďte, že služba je zastavená, a potom požádejte o prostředek, který má pravidlo chránit.

Zapište spouštěč, ne ikonu

Zapište, co tunel zvedlo: připojení k síti, otevření aplikace, přeložení soukromého jména, probuzení ze spánku. Všimněte si, kdy se to stane, ne jen že se to stalo, protože důkazem je sled. Konkrétní spouštěč má větší cenu než snímek obrazovky s ikonou.

Potom po zvednutí spojení ověřte prostředek. Řádek nabídek dokazuje, že služba běží, ne že cíl, který potřebujete, je přes ni dostupný. Ty dvě věci se mohou rozejít z docela obyčejných důvodů, včetně trasy, která míří jinam.

Když pravidlo spustí špatné spojení

Spojení, které se spustí, když nemá, obvykle pochází ze zastaralého profilu, širší podmínky domény, než bylo zamýšleno, nebo dvou konfigurací soutěžících o stejnou síť. Všechny tři jsou vidět v nainstalované konfiguraci a žádná z nich se nevyjasní přepínáním služby.

Přineste spouštěč, vlastníka profilu a zamýšlené chování tomu, kdo zásadu spravuje. Dokumentace Apple k chování na vyžádání je sdílený slovník pro ten rozhovor a je kratší než hádka. Žádejte změnu zásady, ne odstranění, a obě strany si ponechají fungující nastavení.