Din Mac genopretter VPN af sig selv: tjek reglen ved behov

Du afbryder VPN, og tredive sekunder senere er ikonet i menulinjen tilbage. Der er intet hjemsøgt: macOS-reglerne ved behov starter en forbindelse, når netværket skifter, eller når noget spørger efter et navn, reglen dækker, og reglen kan ligge i en profil, du aldrig har skrevet. At gennemgå kontrollerne nedenfor i rækkefølge er hurtigere end at geninstallere klienten. Reglen er en politik, så læs politikken, før du bekæmper den.

Hvad reglen egentlig overvåger

Reglen ved behov har to beslutningspunkter: det netværk, Mac’en er tilsluttet, og et domæne, som noget forsøger at slå op. Begge kan rejse tunnelen, og derfor starter et opslag på et internt navn en VPN, som ingen åbnede. Udrulningen har også brug for godkendelse, der virker uden en person til stede, og derfor dominerer certifikatbaserede løsninger i administrerede flåder.

Ved siden af systempolitikken kan der findes en genopkoblingsindstilling per program, så det første spørgsmål er hvilken mekanisme der genoprettede tunnelen. Tjek systempolitikken først, derefter klienten og først til sidst den, der klikkede på Afbryd. De fleste klientindstillinger, der ser ansvarlige ud, viser sig ikke at være det. Den rækkefølge betyder noget, fordi systempolitikken vinder som standard, og en indstilling på klientniveau kan kun forklare de tilfælde, politikken ikke dækker.

Hvem ejer politikken, og hvad koster fjernelse

Læs den installerede profil og de understøttede klientkontroller, før du ændrer nogen af dem. Hvis Mac’en administreres, er betingelserne dokumenteret et sted, og at bede om det dokument er bedre end at reverse-engineere SSID’er og domæner udefra.

Tillidsmateriale på Mac’en deles med enhver anden tjeneste, der bruger det, så tilbagekaldelse er det sidste skridt, ikke det første. Fjern den profil, der ejer reglen, og bekræft derefter, at reglen holder op med at udløses, før du rører en certifikat. En halvt fjernet profil er netop grunden til, at folk konkluderer, at adfærden er tilfældig. De to kommandoer, der viser, hvad der er installeret, er værd at beholde:

profiles show -type configuration
scutil --nc list

Hvad genopkobling ikke beviser

Genopkobling ved behov siger intet om hullet: mens tunnelen rejses, kan trafik stadig forlade gennem det fysiske interface, medmindre en separat politik holder den tilbage. At blokere, før tunnelen findes, er en anden indstilling end at starte tunnelen. En maskine, der genopretter hurtigt, kan stadig lække i de første sekunder.

Ruteomfang er det tredje spørgsmål, fordi en regel, der starter tunnelen, intet siger om, hvilke præfikser den bærer. Bekræft, hvad forbindelsen router, i stedet for at antage, at en genopkobling betyder fuld dækning. Test det med vilje: afslut klienten, bekræft at tjenesten er stoppet, og bed derefter om den ressource, reglen skal beskytte.

Notér udløseren, ikke ikonet

Skriv ned, hvad der rejste tunnelen: at slutte sig til et netværk, åbne et program, slå et privat navn op, vågne fra søvn. Læg mærke til hvornår det sker, og ikke kun at det skete, fordi sekvensen er beviset. En bestemt udløser er mere værd end et skærmbillede af ikonet.

Bekræft derefter ressourcen, efter at forbindelsen er rejst. Menulinjen beviser, at en tjeneste kører, ikke at den destination, du har brug for, kan nås gennem den. De to kan divergere af helt almindelige grunde, herunder en rute, der peger et andet sted hen.

Når reglen starter den forkerte forbindelse

En forbindelse, der starter, når den ikke bør, kommer som regel fra en forældet profil, en bredere domænebetingelse end tilsigtet eller to konfigurationer, der konkurrerer om det samme netværk. Alle tre er synlige i den installerede konfiguration, og ingen af dem bliver klarere af at slå tjenesten til og fra.

Tag udløseren, profilejeren og den tilsigtede adfærd med til den, der administrerer politikken. Apples dokumentation om ved behov er det fælles ordforråd for den samtale og er kortere end diskussionen. Bed om en ændring af politikken i stedet for en fjernelse, og begge parter beholder en opsætning, der virker.