Beth sy’n newid mewn gwirionedd wrth newid ffurfweddiadau VPN wedi’u cadw ar macOS
Nid yw newid VPN Mac sydd wedi’i chadw yn gyfnewid proffil. Gwelwch beth sy’n newid mewn llwybrau, DNS a chredigion, a sut i wirio’r tiwnel a gawsoch mewn gwirionedd.
Rydych chi’n agor y rhestr VPN, yn dewis y cofnod arall sydd wedi’i gadw, ac yn disgwyl cyfnewid glân: cyfeiriad allan newydd a phopeth arall yn ddigyfnewid. Dyma’r dybiaeth y dylid ei gollwng gyntaf. Ar macOS mae VPN sydd wedi’i chadw yn wasanaeth rhwydwaith llawn yn hytrach na rhagosodiad, felly gall newid gwasanaethau newid llwybro, DNS a dilysu ar yr un pryd. Mae’r bar dewislen yn dweud pa wasanaeth sy’n weithredol; nid yw’n dweud a yw’r tiwnel oddi tano’n cyfateb i’r hyn y gwnaethoch ei fwriadu.
Nid yw’r rhestr gadw’n ddewisydd proffil
Mae pob cofnod yn Gosodiadau’r System > Rhwydwaith yn wasanaeth ar wahân, gyda’i gyfeiriad gweinydd, ei gyfrif, ei ddull dilysu, ei weinyddion DNS a’i opsiynau fel Anfon yr holl draffig dros gysylltiad VPN. Mae rhai o’r System Preferences yn dal yr un rhestr ar fersiynau hŷn. Gall dau gofnod bwyntio at yr un enw gwesteiwr a dal i ymddwyn yn wahanol, oherwydd y protocol neu estyniad y cleient sy’n penderfynu sut mae’r tiwnel yn cael ei adeiladu.
Mae cleientiaid trydydd parti’n cadw rhestrau ar wahân. Mae Tunnelblick yn darllen ffurfweddiadau o’i ffolder ei hun, mae WireGuard yn cadw ei restr tiwnel ei hun, ac mae OpenVPN Connect yn storio proffiliau y tu mewn i’r ap. Mae rhai’n cofrestru ffurfweddiad gyda’r system; mae eraill yn cadw popeth y tu mewn i’r ap ac yn byth yn ymddangos yn y rhestr adeiledig. Felly mae “newid i’r un sydd wedi’i chadw” yn golygu gwahanol gamau yn dibynnu pa ap sy’n berchen ar y proffil.
scutil --nc list yn argraffu’r gwasanaethau VPN sydd wedi’u cofrestru yng nghyfluniad y system, gyda’r enwau mewn dyfynodau. Defnyddiwch yr union enwau hynny pan fyddwch yn sgriptio newid, ac na thybiwch fod y rhestr yn cynnwys pob tiwnel trydydd parti.
Beth mae newid yn ei newid mewn gwirionedd
Mae pedair peth yn symud gyda’i gilydd pan fydd y gwasanaeth gweithredol yn newid. Mae’r llwybr rhagosodedig yn dilyn y tiwnel newydd os yw’r gwasanaeth hwnnw’n anfon yr holl draffig; mae’r rhestr datryswyr yn newid i’r gweinyddion DNS y mae’r gwasanaeth yn eu pennu; mae cysylltiadau newydd yn cymryd cyfeiriad y tiwnel newydd fel eu ffynhonnell; ac mae’r credigion sy’n cael eu defnyddio’n perthyn i’r gwasanaeth newydd. Nid yw ffurfweddiad brodorol a phroffil ap yn gyfnewidiol, hyd yn oed pan fydd y ddau’n gorffen yn yr un porth.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
Mae’r rhan DNS yn dal pobl allan. Mae macOS yn cynnal trefn datryswyr, ac mae scutil --dns yn dangos pa ddatryswyr sy’n cael eu defnyddio ac ar ba ryngwyneb. Gall gwasanaeth VPN heb weinyddion DNS wedi’u gosod adael i ddatryswr Wi-Fi ateb, felly rydych chi’n cael cyfeiriad cyhoeddus newydd gyda’r hen ymddygiad DNS ac yn dod i’r casgliad bod y newid wedi gweithio’n hanner.
Pam mae’r hen ffurfweddiad yn dal i ddod yn ôl
Os byddwch chi’n datgysylltu ac mae’r un gwasanaeth yn ailgysylltu ychydig eiliadau’n ddiweddarach, edrychwch ar On Demand cyn unrhyw beth arall. Gall rheol cysylltu ar alw ddod â gwasanaeth yn ôl pan fydd ap yn datrys parth sy’n cyfateb, a gall proffil rheoli orfodi’r un rheol. Anaml y mae dileu’r cofnod yn ei drwsio: mae ffurfweddiad a osodwyd gan broffil fel arfer yn dychwelyd yn ystod adnewyddiad y proffil nesaf, a gall un â llaw adael ei gyfrinair yn Keychain tra bo’r gwasanaeth wedi mynd.
Nid yw dechrau ail wasanaeth bob amser yn atal y cyntaf. Yn dibynnu ar y cleient a’r protocol efallai y byddwch yn gorffen gyda dau diwnel a dwy set o lwybrau, a threfn y gwasanaethau a manylder y llwybr sy’n penderfynu pa un sy’n cario traffig, nid yr eicon y gwnaethoch ei glicio ddiwethaf. Gwiriwch y rhyngwynebau cyn tybio bod cyfnewid wedi digwydd.
Gwiriwch y tiwnel, nid y tic
Ewch drwy olwg y system ei hun cyn cyffwrdd â’r gosodiadau.scutil --nc status "Name" yn adrodd yr hyn y mae’r system yn ei gredu;ifconfig yn dangos a oes gan ryngwyneb utun gyfeiriad;netstat -rn -f inet yn dangos i ble mae’r llwybr rhagosodedig yn pwyntio;scutil --dns yn dangos y datryswr sy’n cael ei ddefnyddio mewn gwirionedd. Yna agorwch gysylltiad ffres a chadarnhau’r cyfeiriad allan, oherwydd efallai bod tudalen a oedd eisoes wedi mewngofnodi’n dal i ddefnyddio soced wedi’i rwymo i’r hen diwnel.
Os yw DNS yn dal i ateb o’r rhwydwaith lleol, cymharwch weinyddion ffurfweddedig y gwasanaeth â’r rhestr datryswyr. Os yw’r llwybr rhagosodedig yn dal i bwyntio at y rhyngwyneb corfforol, mae’r gwasanaeth yn diwnel hollt neu heb fod wedi cysylltu’n llawn. Mae’r ddau yn ganlyniad ffurfweddiad, nid yn brawf o gleient wedi torri.
Trefn newid sy’n osgoi syndod
- Nodwch y gwasanaeth presennol ac a oes proffil yn ei reoli.
- Datgysylltwch ef yn gyntaf pan na all y ddau diwnel fodoli gyda’i gilydd.
- Cysylltwch y targed ac aros am y cyflwr Connected, nid Connecting.
- Gwiriwch y llwybr rhagosodedig, y rhestr datryswyr a chyfeiriad allan ffres.
- Ailgychwynnwch apiau sy’n dal sesiynau hir.
Cadwch yr hen gofnod nes bod yr un newydd yn pasio’r gwiriadau hynny, a rhowch enw gwahanol i bob cofnod; mae labeli unfath yn gwneud y methiant nesaf yn anoddach ei briodoli. Mae Help Mac Apple yn disgrifio’r ochr frodorol yn Gosod cysylltiad VPN ar Mac, sef y cyfeiriad i’w wirio cyn golygu ffurfweddiad a reolir.
Os yw’r dewis yn dychwelyd, triniwch ef fel polisi neu On Demand yn gyntaf. Cadarnhewch pwy sy’n berchen ar y ffurfweddiad ac a yw wedi’i osod i gysylltu’n awtomatig, yna penderfynwch a ydych yn newid gwasanaeth neu’n ymladd â phroffil.