VPN Mac wedi glynu ar «Datgysylltu»: beth sy’n rhedeg mewn gwirionedd

Mae «Datgysylltu» yn gyflwr y mae’r cleient yn ei adrodd wrth iddo ddadwneud tunel, nid barn fod traffig wedi stopio. Ar Mac mae’r dadwneud hwnnw’n rhedeg fel dilyniant byr, ac mae’r label yn newid dim ond ar ôl i’r gydran sy’n berchen ar y cysylltiad adrodd yn ôl. Pan fo cam yn aros ar helper, ar ategyn neu ar benderfyniad polisi, gall y label aros yno ar ôl i’r rhyngwyneb fynd, neu gall y tunel barhau i anfon ymlaen tra bo’r ddewislen yn dal i’w ddangos. Triniwch y testun fel «dadwneud ar y gweill, canlyniad yn anhysbys» a phenderfynwch pa hanner sy’n wir.

Mae dwy fethiant yn edrych yn unfath o’r bar dewislen ac yn gofyn am ymatebion croes. Yn un, mae’r tunel yn dal i gario pecynnau a dim ond yr arddangosfa sy’n hen. Yn y llall, mae’r tunel wedi mynd ond mae polisi ar wahân yn cadw traffig wedi’i rwystro, sy’n aml yn fwriadol. Mae llwybrau a chyflwr DNS yn eu gwahanu’n gynt nag unrhyw ryngweithio â’r ddewislen.

Beth mae’r label yn ei ddilyn

Mae cleient VPN yn cadw peiriant cyflwr bach, a’r bar dewislen yw ei dafluniad. Ar gyfer cysylltiad a reolir gan macOS ei hun, mae’r peiriant hwnnw yn fframwaith VPN y system. Ar gyfer tunel a reolir gan ap, mae yn yr ap a’i helper breintiedig. Nid cau soced yw cam olaf atal. Rhyddhau’r hyn a wnaeth y tunel yn weithredol ydyw: y rhyngwyneb utun, y llwybrau a bwyntiai ato, y cofnodion datryswr a fewnosodwyd gan y cleient, ac unrhyw reol mur cadarn neu bolisi a rwystrai draffig tra’r oedd y cysylltiad yn fyw.

Mae’r camau hynny ar wahân, felly gall atal lyncu ar unrhyw un ohonynt. Gall helper sy’n peidio ag ateb, llwybr y mae ail ryngwyneb hefyd yn ei hawlio, neu gofnod datryswr sy’n eiddo i broffil arall adael y cleient yn aros. Adroddiad am gynnydd y cleient ei hun yw’r label, sy’n ei wneud yn awdurdodol am fwriad ac yn annibynadwy am y rhwydwaith.

Dewch o hyd i’r gydran sy’n berchen ar y cysylltiad

Ar gyfer ffurfweddiadau brodorol, mae scutil --nc list yn argraffu’r gwasanaethau y mae’r system yn eu hadnabod a’u statws, ac mae scutil --nc status "Work VPN" yn rhoi manylion un gwasanaeth. Efallai na fydd tunel a gedwir gan ap trydydd parti yn ymddangos yn y rhestr honno o gwbl, felly nid yw canlyniad gwag yn dystiolaeth nad oes unrhyw beth wedi’i gysylltu.

Pan fo’r proffil yn eiddo i ap, dibynnwch ar ei olwg statws a’i reolaeth «Datgysylltu» a ddogfenwyd. Nid yw cau’r ffenestr yn gais i atal os yw helper cefndir yn berchen ar y tunel; mae’r eicon yn diflannu ac mae’r helper yn cadw’r rhyngwyneb yn fyw. Mae cyfeirlyfr gosodiadau VPN Apple yn trafod y rheolyddion brodorol ac o ble y daw gosodiadau a reolir.

Darllenwch ryngwynebau, llwybrau a DNS

Mae tri gwiriad yn ateb y rhan fwyaf o’r cwestiwn heb gyffwrdd â’r cysylltiad. Dehongli’r tri gyda’i gilydd sy’n bwysig, oherwydd mae unrhyw un ar ei ben ei hun yn gamarweiniol.

scutil --nc list
netstat -rn -f inet | head -20
ifconfig | grep -A 3 '^utun'
scutil --dns | head -30

• rhyngwyneb utun yn bresennol, llwybr diofyn neu hollt drwyddo, datryswr yn pwyntio at y darparwr: mae’r tunel yn dal i fyny a’r label yn hen.
• dim utun, llwybr diofyn cyffredin, DNS o DHCP, dim rhyngrwyd: mae polisi sy’n rhwystro ar ôl datgysylltu yn gwneud ei waith.
• dim utun, dim llwybr, datryswr yn dal i bwyntio at y darparwr: stopiodd y dadwneud hanner ffordd, a DNS yw’r gweddill i’w glirio.

Yna anfonwch un cais at westeiwr mewnol a ddylai ateb dim ond drwy’r tunel ac un at westeiwr cyhoeddus. Mae cyrhaeddedd yn gwahanu polisi oddi wrth gyflwr gweddilliol heb droi’r gwiriad yn ymarferiad mesur. Cadwch waith o bell yn gyntaf os yw’r llwybr yn dal i ymateb, a threfnwch ail ffordd i mewn cyn newid rhwydweithio ar beiriant rydych yn ei weinyddu o bell.

Pam mae lladd eang a dileu proffil yn camarwain

Mae enwau proses fel pppd, racoon a configd yn perthyn i weithrediadau penodol. Gall eu lladd effeithio ar gysylltiadau eraill, mae’n gadael llwybrau a rhyngwynebau utun ar ôl, ac nid yw’n rhoi cofnod i chi o ba gam a lynodd. Nid yw enw proses hen yn dystiolaeth chwaith ei fod yn berchen ar y proffil presennol.

Mae dileu ac ail-greu’r proffil yn newid mwy na chlirio pont sydd wedi glynu. Gall daflu gosodiadau a reolir a deunydd hunaniaeth lleol heb esbonio beth a fethodd, ac ar Mac dan oruchwyliaeth gall gael ei adfer yn syml. Cadwch ddileu ar gyfer ffurfweddiad sydd wir wedi darfod, a dadansoddwch y bont yn lle hynny.

Dilyniant atal sy’n cadw trywydd

Mae’r drefn isod yn gadael rheolyddion y cysylltiad ei hun wrth y llyw ac yn cynhyrchu cofnod os daw’r llyncu yn ôl. Mae hefyd yn eich cadw rhag troi problem arddangos yn newid rhwydwaith.

1. Cadwch waith o bell, a chadarnhewch y gallwch gyrraedd y Mac mewn ffordd arall os yw’n bell.
2. Nodwch enw’r cleient, y fersiwn a’r proffil. Cipiwch ffenestr fer gyda log show --last 5m --predicate 'subsystem == "com.apple.networkextension"'; mae rhyddhau hŷn yn cadw llai o hanes, felly rhedwch hyn yn fuan ar ôl y llyncu.
3. Defnyddiwch y reolaeth «Datgysylltu» a ddogfenwyd, arhoswch, yna ailadroddwch y gwiriadau rhyngwyneb a llwybrau.
4. Os yw’r label yn hen ond mae’r tunel i lawr, gadewch iddo a gadael i’r cleient adnewyddu yn lle gorfodi prosesau.
5. Os yw’r dadwneud wedi glynu mewn gwirionedd, ailgychwynnwch y cleient, yna cynlluniwch ailgychwyn y Mac unwaith y bydd gwaith wedi’i gadw. Mae peiriannau a reolir angen gweithdrefn y gweinyddwr.

Ar ôl adferiad, cadarnhewch fod y llwybr diofyn cyffredin a’r datryswr DHCP yn ôl, a bod traffig a rwystrwyd naill ai wedi’i adfer neu’n dal i gael ei rwystro’n fwriadol. Cofnodwch y proffil a fersiwn y cleient gyda’r symptom, fel bod y tro nesaf yn dechrau o dystiolaeth yn lle o ddyfaliad o’r bar dewislen.