Tjek af VPN-rute på macOS: route get uden at ændre noget

En bruger når intranettet på kontornettet og ikke gennem tunnelen, mens Indstillinger stadig viser VPN som forbundet. At redigere rutetabellen i det øjeblik risikerer at afbryde den fjernsession, du bruger til at diagnosticere. Spørg i stedet kernen, hvilken vej den ville vælge til den fejlende vært. macOS-værktøjet route har en get-operation, der svarer præcis på det, for én destination, uden at ændre noget.

Spørg værten, der fejler, ikke standardruten

Et skærmbillede af standardruten fortæller meget lidt på en moderne Mac, fordi en mere specifik destination eller en afgrænset politik kan tilsidesætte det, standardruten ser ud til at sige. Tunnelen kan være oppe, standardruten kan se korrekt ud, og den ene vært, du har brug for, kan stadig blive rutet et andet sted hen. Spørg adressen, der fejler, og lad kernen navngive den vej, den valgte.

Formen er route -n get efterfulgt af adressen: route -n get 203.0.113.10, hvor dokumentationsadressen står for dit mål. Brug den autoriserede destination og den matchende adressefamilie, fordi et IPv4-svar ikke siger noget om en ressource, der kun er IPv6. Dokumentationen for route-værktøjet beskriver get-operationen og de felter, den udskriver.

Læs interface og gateway som bevis

Kør forespørgslen, før du forbinder VPN, og derefter igen, og sammenlign linjerne for interface og gateway. Forskellen mellem de to svar er det, tunnelen faktisk ændrede, og den er langt mere nyttig end en fuld tabeludskrift. Hvis interface er identisk i begge kørsler, var ruten aldrig problemet, og du kan holde op med at se på routing.

Notér destination, interface, gateway og tidspunktet for forespørgslen, før du drager en konklusion. Outputtet er bevis, ikke en diagnose: det samme interface kan være korrekt for én vært og forkert for en anden, når en delt tunnel er involveret.

En korrekt rute er ikke en fungerende anmodning

En rute fortæller, hvilket interface kernen ville bruge, ikke mere. DNS, en vært-firewall og applikationsgodkendelse ligger alle over den beslutning, og anmodningen kan fejle, efter at routing er lykkedes. Bevar det præcise symptom, før du går videre, fordi "kan ikke forbinde" og "forbinder, men returnerer en fejl" er forskellige undersøgelser med forskellige næste skridt. Resolver-visningen og interface-visningen supplerer destinationsforespørgslen i stedet for at erstatte den.

En udskrift af rutetabellen har stadig sin plads: det er sådan, du bemærker en uventet standardrute. En tilbageværende almindelig standardrute beviser ikke, at VPN ikke bruges, fordi mere specifikke poster vinder over den.

Hold endepunktet og ressourcen adskilt

To opslag er involveret, og de besvarer forskellige spørgsmål. At nå endepunktet er en ydre rejse gennem det fysiske netværk. At nå applikationen sker inde i tunnelen, på en adresse, der kun findes på den private side. Forveksling af de to skaber den klassiske falske løkke, hvor endepunktet ser ud til at route gennem den tunnel, det afslutter. Spørg de to adresser hver for sig, mærk hvert resultat, og forvirringen forsvinder.

Præfiks-overlapning er det andet tilfælde, der er værd at kende. Når lokale og fjernede intervaller overlapper, afgør det længste præfiks, så et overlappende lokalt subnet kan overskygge den fjernadresse, du forventede. Den private destination ser så identisk ud med en lokal, og rettelsen hører i adresseplanen snarere end i rutetabellen. get-forespørgslen viser, hvilket interface der vandt, og det er det faktum, du har brug for, før du ændrer noget.

Læs først, ændr senere

Hold route add og route delete ude af første omgang. På en Mac, du administrerer eksternt, kan en enkelt skødesløs tabelredigering fjerne netop vejen tilbage til maskinen og efterlade ingen, der kan gøre diagnosen færdig. Beslut, hvilken rute der er korrekt, skriv ned, hvordan ændringen fortrydes, og kør den først derefter. En inspektion har ingen sådan hale.

Samme forsigtighed gælder for at tømme caches og genstarte netværkstjenester som første skridt, fordi begge ødelægger det bevis, du var ved at læse. Skrivebeskyttede kontroller er billige, gentagelige og sikre i vilkårlig rækkefølge. Gør dem til standardtrinnet, og grib kun til en ændring, når beviset peger på en.