Pořadí služeb v macOS neřídí vaše trasy VPN

Něco na webu selže, kolega si vzpomene, že pořadí služeb existuje, a Wi-Fi se přetáhne nad Ethernet. Nic se nezmění, protože ten seznam nikdy nerozhodoval, kam směřuje destinace VPN. Apple dává připojením VPN přednost před běžnými a drží je mimo toto přeskupování, takže přepínač odpovídá na užší otázku, než jaká se klade. Selhání potřebuje zvolenou trasu a resolver, ne nové pořadí.

Co pořadí služeb mění a čeho se nikdy nedotkne

Nastavit pořadí služeb najdete v Nastavení systému, Síť, v nabídce Akce, a řadí běžná připojení, když jsou aktivní dvě nebo více. Toto pořadí vybírá primární službu, která dodává výchozí trasu a část chování resolveru. Je to rozuzlení mezi rovnocennými, ne přepínač pro soukromé destinace za tunelem. Notebook s Wi-Fi a USB Ethernet adaptérem ho používá k odpovědi na rozumnou otázku a ta otázka není o tunelu.

Profil VPN nese zahrnuté trasy, vyloučené destinace a někdy pravidla pro jednotlivé aplikace, a ta rozhodují, co vstoupí do tunelu; nabídka pořadí je needituje. Proto profil se split tunelem může nechat veřejný provoz venku, zatímco VPN stále předčí každé fyzické rozhraní. Přetažení Wi-Fi nahoru nezpřístupní soukromý rozsah a nezastaví destinaci, kterou profil už zahrnuje. Seznam posouvá rozhraní; profil posouvá prefixy. Apple prioritu dokumentuje na stránce o pořadí síťových služeb, kterou stojí za to si jednou přečíst, než cokoli přeskládáte.

Přečtěte trasu, kterou stroj skutečně zvolil

Zeptejte se stroje, kam jde konkrétní adresa, pomocí route get 10.20.4.10, pak to zopakujte pro IPv6 pomocí route -n get -inet6 2001:db8::10. Obě rodiny jsou samostatná rozhodnutí, takže funkční cesta IPv4 nic neříká o cestě v6, a přímo připojená podsíť nebo konkrétnější prefix stejně porazí obecný štítek připojení, což je přesně důvod, proč štítek lidi dál mate.

Pokud výstup jmenuje rozhraní tunelu, profil destinaci zachytil a pořadí je irelevantní. Pokud jmenuje fyzické rozhraní, profil ji nezachytil a žádné přetahování tabulku prefixů nezmění. Oba výstupy také jmenují zdrojovou adresu, kterou by stroj použil, a to je pole, které citujete při srovnání dvou běhů. Uložte výstup, než cokoli změníte, protože je to jediný důkaz, který potom budete mít.

DNS řeší podle jména, ne podle rozhraní

Resolveru s rozsahem a specifické pro doménu znamenají, že odpověď se může lišit podle jména, ne podle rozhraní. scutil --dns vypíše konfiguraci resolveru, kterou systém skutečně používá, včetně záznamů s rozsahem. Pořadí služeb ovlivňuje, která služba dodává výchozí resolver, ale rozsah pro konkrétní jméno může vyhrát bez ohledu na to.

Proto ping na adresu může fungovat, zatímco jméno hostitele selhává, nebo naopak. Přečtěte oba výstupy, než vyberete viníka.

Změňte profil a pak znovu přečtěte oba výstupy

Když se má změnit politika destinací, vlastníkem je profil VPN: zahrnuté trasy, vyloučené trasy a případná pravidla split tunelu, která dodavatel podporuje. Změna rozhraní místo toho jen posouvá spor. Na Macu spravovaném vzdáleně nejprve uložte aktuální stav sítě, protože ztráta tunelu na stroji, kam se nedostanete, je výlet, ne návrat.

Reprodukujte selhání, přečtěte trasu, přečtěte resolver, změňte jednu věc a pak znovu přečtěte stejné dva výstupy. Míchání několika služeb a profilů najednou zanechá stroj, který nikdo nedokáže vysvětlit, včetně toho, kdo ho opravil. Test skončí, když se oba výstupy shodují se změnou, kterou jste zamýšleli. Pokud se stále neshodují, profil a stroj popisují dvě různé politiky a měnit se má profil.