Dein Mac verbindet das VPN von selbst: die Regel Bei Bedarf prüfen

Du trennst das VPN und dreißig Sekunden später ist das Symbol in der Menüleiste wieder da. Nichts ist verhext: Die Regeln für Bei Bedarf von macOS starten eine Verbindung, wenn sich das Netzwerk ändert oder wenn etwas einen Namen anfragt, den die Regel abdeckt, und die Regel kann in einem Profil stecken, das du nie geschrieben hast. Die Prüfungen unten der Reihe nach durchzugehen ist schneller, als den Client neu zu installieren. Die Regel ist eine Richtlinie, also lies die Richtlinie, bevor du gegen sie kämpfst.

Worauf die Regel wirklich achtet

Die Regel für Bei Bedarf hat zwei Entscheidungspunkte: das Netzwerk, mit dem der Mac verbunden ist, und eine Domain, die etwas aufzulösen versucht. Beides kann den Tunnel hochbringen, weshalb die Abfrage eines internen Namens ein VPN startet, das niemand geöffnet hat. Das Ausrollen braucht außerdem eine Authentifizierung, die ohne anwesende Person funktioniert, weshalb zertifikatsbasierte Verfahren in verwalteten Flotten dominieren.

Neben der Systemrichtlinie kann eine Wiederverbindungsoption pro App existieren, also ist die erste Frage, welcher Mechanismus den Tunnel wieder verbunden hat. Prüfe zuerst die Systemrichtlinie, dann den Client und erst dann, wer auf Trennen geklickt hat. Die meisten Client-Einstellungen, die verantwortlich aussehen, sind es nicht. Diese Reihenfolge zählt, weil die Systemrichtlinie standardmäßig gewinnt und eine Einstellung auf Client-Ebene nur die Fälle erklären kann, die die Richtlinie nicht abdeckt.

Wem die Richtlinie gehört und was das Entfernen kostet

Lies das installierte Profil und die unterstützten Client-Steuerelemente, bevor du eines davon änderst. Ist der Mac verwaltet, sind die Bedingungen irgendwo dokumentiert, und nach diesem Dokument zu fragen ist besser, als SSIDs und Domains von außen rückwärts zu entschlüsseln.

Vertrauensmaterial auf dem Mac wird mit jedem anderen Dienst geteilt, der es nutzt, deshalb ist der Widerruf der letzte Schritt und nicht der erste. Entferne das Profil, dem die Regel gehört, und bestätige dann, dass die Regel nicht mehr auslöst, bevor du ein Zertifikat anfasst. Ein halb entferntes Profil ist genau der Grund, aus dem Leute schließen, das Verhalten sei zufällig. Die zwei Befehle, die zeigen, was installiert ist, lohnt es sich zu behalten:

profiles show -type configuration
scutil --nc list

Was eine Wiederverbindung nicht beweist

Eine Wiederverbindung bei Bedarf sagt nichts über die Lücke: Während der Tunnel hochkommt, kann Verkehr weiterhin über die physische Schnittstelle hinausgehen, sofern ihn nicht eine eigene Richtlinie zurückhält. Vor dem Bestehen des Tunnels zu blockieren ist eine andere Einstellung, als den Tunnel zu starten. Eine Maschine, die sich rasch wieder verbindet, kann in den ersten Sekunden trotzdem lecken.

Der Routenumfang ist eine dritte Frage, denn eine Regel, die den Tunnel startet, sagt nichts darüber, welche Präfixe er trägt. Bestätige, was die Verbindung routet, statt anzunehmen, eine Wiederverbindung bedeute volle Abdeckung. Teste es absichtlich: Beende den Client, bestätige, dass der Dienst gestoppt ist, und fordere dann die Ressource an, die die Regel schützen soll.

Den Auslöser notieren, nicht das Symbol

Schreib auf, was den Tunnel hochgebracht hat: Beitritt zu einem Netzwerk, Öffnen einer App, Auflösen eines privaten Namens, Aufwachen aus dem Schlaf. Achte darauf, wann es passiert, statt nur darauf, dass es passiert ist, denn die Abfolge ist der Beweis. Ein konkreter Auslöser ist mehr wert als ein Screenshot des Symbols.

Prüfe danach die Ressource, nachdem die Verbindung steht. Die Menüleiste beweist, dass ein Dienst läuft, nicht dass das Ziel, das du brauchst, darüber erreichbar ist. Beides kann aus ganz gewöhnlichen Gründen auseinandergehen, etwa wegen einer Route, die woandershin zeigt.

Wenn die Regel die falsche Verbindung startet

Eine Verbindung, die startet, wenn sie es nicht sollte, kommt meist von einem veralteten Profil, einer breiteren Domainbedingung als beabsichtigt oder zwei Konfigurationen, die um dasselbe Netzwerk konkurrieren. Alle drei sind in der installierten Konfiguration sichtbar, und keine wird klarer, indem man den Dienst an- und abschaltet.

Bring den Auslöser, den Profilinhaber und das beabsichtigte Verhalten zu dem, der die Richtlinie verwaltet. Apples Dokumentation zu Bei Bedarf ist das gemeinsame Vokabular für dieses Gespräch, und sie ist kürzer als die Diskussion. Bitte um eine Änderung der Richtlinie statt um eine Entfernung, und beide Seiten behalten ein funktionierendes Setup.