VPN na Macu visí na „Odpojování“: co vlastně běží

Odpojování je přechod, ne zastavený tunel. Zjistěte, který komponent vlastní rozebrání tunelu, přečtěte trasy a DNS a vyhněte se plošnému zabíjení procesů.

„Odpojování“ je stav, který klient hlásí, když rozebírá tunel, ne verdikt, že provoz ustal. Na Macu to rozebrání probíhá jako krátká posloupnost a označení se změní až poté, co se komponenta, která spojení vlastní, ozve zpět. Když některý krok čeká na pomocníka, plugin nebo rozhodnutí zásady, označení může zůstat na místě i poté, co rozhraní zmizelo, nebo může tunel dál přeposílat, zatímco ho nabídka ještě zobrazuje. Berte text jako „rozebrání probíhá, výsledek neznámý“ a zjistěte, která polovina je pravdivá.

Dvě poruchy vypadají z panelu nabídky stejně a vyžadují opačné reakce. V jedné tunel stále nese pakety a jen zobrazení je zastaralé. Ve druhé tunel zmizel, ale samostatná zásada drží provoz zablokovaný, což je často záměr. Trasy a stav DNS je oddělí rychleji než jakákoli práce s nabídkou.

Co označení sleduje

Klient VPN drží malý stavový stroj a panel nabídky je jeho projekce. U spojení, které spravuje sám macOS, ten stroj sedí v systémovém rámci VPN. U tunelu spravovaného aplikací sedí v aplikaci a jejím privilegovaném pomocníkovi. Posledním krokem zastavení není zavření soketu. Je to uvolnění toho, co tunel drželo v chodu: rozhraní utun, tras, které na něj ukazovaly, záznamů překladače, které klient vložil, a každého pravidla firewallu nebo zásady, která blokovala provoz během připojení.

Tyto kroky jsou oddělené, takže zastavení může uváznout na kterémkoli z nich. Pomocník, který přestane odpovídat, trasa, kterou si nárokuje i druhé rozhraní, nebo záznam překladače, který vlastní jiný profil, mohou klienta nechat čekat. Označení je zpráva o vlastním postupu klienta, což ho činí směrodatným o záměru a nespolehlivým o síti.

Najděte komponentu, která spojení vlastní

U nativních konfigurací scutil --nc list vypíše služby, které systém zná, a jejich stav, a scutil --nc status "Work VPN" dá podrobnosti pro jednu službu. Tunel, který drží aplikace třetí strany, se v tom seznamu nemusí objevit vůbec, takže prázdný výsledek není důkaz, že nic není připojeno.

Když profil patří aplikaci, spolehněte se na její pohled na stav a na zdokumentovanou kontrolu „Odpojit“. Zavření okna není žádost o zastavení, pokud tunel vlastní pomocník na pozadí; ikona zmizí a pomocník drží rozhraní naživu. Appleův přehled nastavení VPN pokrývá nativní ovládací prvky a to, odkud přicházejí spravovaná nastavení.

Čtěte rozhraní, trasy a DNS

Tři kontroly odpovídají na většinu otázky, aniž by se dotkly spojení. Důležité je vykládat je společně, protože každá sama o sobě mate.

scutil --nc list
netstat -rn -f inet | head -20
ifconfig | grep -A 3 '^utun'
scutil --dns | head -30
  • rozhraní utun existuje, vede přes něj výchozí nebo rozdělená trasa, překladač ukazuje na poskytovatele: tunel je stále nahoru a označení je zastaralé.
  • žádné utun, běžná výchozí trasa, DNS z DHCP, žádný internet: zásada blokující provoz po odpojení dělá svou práci.
  • žádné utun, žádná trasa, překladač stále ukazuje na poskytovatele: rozebrání se zastavilo v polovině a DNS je zbytek k úklidu.

Potom pošlete jeden požadavek na vnitřní hostitel, který má odpovídat jen tunelem, a jeden na veřejného hostitele. Dostupnost odděluje zásadu od zbytkového stavu, aniž by se kontrola změnila v měřicí cvičení. Nejprve uložte vzdálenou práci, pokud cesta ještě odpovídá, a zajistěte druhý způsob přístupu, než změníte síťová nastavení na stroji, který spravujete na dálku.

Proč plošné zabíjení a smazání profilu matou

Názvy procesů jako pppd, racoon a configd patří konkrétním implementacím. Jejich zabití může ovlivnit jiná spojení, zanechá trasy a rozhraní utun a nedá vám záznam o tom, který krok uváznul. Ani starý název procesu není důkaz, že vlastní aktuální profil.

Smazání a znovuvytvoření profilu je větší změna než vyčištění uvízlého přechodu. Může zahodit spravovaná nastavení a místní identitní materiál, aniž by vysvětlilo, co selhalo, a na Macu pod dohledem může být prostě obnoven. Ponechte odstranění pro konfiguraci, která je opravdu zastaralá, a místo toho diagnostikujte přechod.

Posloupnost zastavení, která zanechá stopu

Pořadí níže nechává vlastní ovládací prvky spojení ve velení a vytváří záznam, pokud se uváznutí vrátí. Také vás drží od toho, abyste problém zobrazení proměnili v síťovou změnu.

  1. Uložte vzdálenou práci a potvrďte, že se k Macu dostanete jinou cestou, pokud je vzdálený.
  2. Poznamenejte název klienta, verzi a profil. Zachyťte krátké okno pomocí log show --last 5m --predicate 'subsystem == "com.apple.networkextension"'; starší vydání drží méně historie, takže to spusťte brzy po uváznutí.
  3. Použijte zdokumentovanou kontrolu „Odpojit“, počkejte a potom zopakujte kontroly rozhraní a tras.
  4. Pokud je označení zastaralé, ale tunel je dole, nechte ho a nechte klienta obnovit, místo abyste procesy nutili.
  5. Pokud se rozebrání skutečně zaseklo, restartujte klienta a potom naplánujte restart Macu, jakmile je práce uložená. Spravované stroje potřebují postup správce.

Po obnovení potvrďte, že běžná výchozí trasa a překladač DHCP jsou zpět a že blokovaný provoz je buď obnoven, nebo je záměrně stále blokován. Zapište profil a verzi klienta s příznakem, aby příští výskyt začal důkazem místo dohadu z panelu nabídky.

Související články