Mac-VPN hängt bei „Wird getrennt“: was tatsächlich läuft

Getrenntwerden ist ein Übergang, kein gestoppter Tunnel. Prüfen Sie, welche Komponente den Abbau besitzt, lesen Sie Routen und DNS, und verzichten Sie auf pauschales Prozess-Abschießen.

„Wird getrennt“ ist ein Zustand, den der Client meldet, während er einen Tunnel abbaut, kein Urteil darüber, dass der Verkehr steht. Auf einem Mac läuft dieser Abbau als kurze Sequenz ab, und die Anzeige wechselt erst, nachdem die Komponente, die die Verbindung besitzt, zurückmeldet. Wenn ein Schritt auf einen Helfer, ein Plugin oder eine Richtlinienentscheidung wartet, kann die Anzeige stehen bleiben, obwohl die Schnittstelle schon weg ist, oder der Tunnel kann weiterleiten, während das Menü ihn noch zeigt. Behandeln Sie den Text als „Abbau läuft, Ergebnis unbekannt“ und finden Sie heraus, welche Hälfte zutrifft.

Zwei Fehlerbilder sehen in der Menüleiste gleich aus und verlangen gegensätzliche Reaktionen. Beim einen trägt der Tunnel noch Pakete, und nur die Anzeige ist veraltet. Beim anderen ist der Tunnel weg, aber eine separate Richtlinie hält den Verkehr weiter blockiert, was oft Absicht ist. Routen und DNS-Zustand trennen beide schneller als jede Bedienung im Menü.

Was die Anzeige verfolgt

Ein VPN-Client hält eine kleine Zustandsmaschine, und die Menüleiste ist deren Abbild. Bei einer Verbindung, die macOS selbst verwaltet, sitzt diese Maschine im Systemrahmen für VPN. Bei einem app-verwalteten Tunnel sitzt sie in der App und ihrem privilegierten Helfer. Der letzte Schritt eines Stopps ist nicht das Schließen eines Sockets. Er besteht darin, freizugeben, was den Tunnel funktionsfähig machte: die utun-Schnittstelle, die Routen, die darauf zeigten, die Resolver-Einträge, die der Client eingefügt hat, und jede Firewall-Regel oder Richtlinie, die Verkehr blockierte, solange die Verbindung stand.

Diese Schritte sind getrennt, deshalb kann ein Stopp an jedem einzelnen hängen bleiben. Ein Helfer, der nicht mehr antwortet, eine Route, die auch eine zweite Schnittstelle beansprucht, oder ein Resolver-Eintrag, den ein anderes Profil besitzt, können den Client warten lassen. Die Anzeige ist ein Bericht über den Fortschritt des Clients selbst, was sie in Bezug auf die Absicht maßgeblich und in Bezug auf das Netz unzuverlässig macht.

Finden Sie die Komponente, die die Verbindung besitzt

Bei nativen Konfigurationen listet scutil --nc list die Dienste auf, die das System kennt, samt Status, und scutil --nc status "Work VPN" liefert Details zu einem Dienst. Ein Tunnel, den eine App eines Drittanbieters hält, erscheint in dieser Liste möglicherweise gar nicht, ein leeres Ergebnis ist also kein Beweis dafür, dass nichts verbunden ist.

Gehört das Profil zu einer App, verlassen Sie sich auf deren Statusansicht und die dokumentierte Schaltfläche „Trennen“. Das Fenster zu schließen ist keine Stoppanforderung, wenn ein Hintergrundhelfer den Tunnel besitzt; das Symbol verschwindet, und der Helfer hält die Schnittstelle am Leben. Apples Referenz zu VPN-Einstellungen behandelt die nativen Bedienelemente und die Herkunft verwalteter Einstellungen.

Schnittstellen, Routen und DNS lesen

Drei Prüfungen beantworten den größten Teil der Frage, ohne die Verbindung anzufassen. Entscheidend ist, sie zusammen zu deuten, denn jede für sich führt in die Irre.

scutil --nc list
netstat -rn -f inet | head -20
ifconfig | grep -A 3 '^utun'
scutil --dns | head -30
  • utun-Schnittstelle vorhanden, Standard- oder geteilte Route darüber, Resolver zeigt auf den Anbieter: der Tunnel steht noch, und die Anzeige ist veraltet.
  • keine utun, gewöhnliche Standardroute, DNS per DHCP, kein Internet: eine Richtlinie, die bei getrennter Verbindung blockiert, tut ihre Arbeit.
  • keine utun, keine Route, Resolver zeigt noch auf den Anbieter: der Abbau blieb auf halbem Weg stehen, und DNS ist der Rest, der zu räumen ist.

Senden Sie dann eine Anfrage an einen internen Host, der nur über den Tunnel antworten sollte, und eine an einen öffentlichen Host. Erreichbarkeit trennt Richtlinie von Restzustand, ohne die Prüfung in eine Messübung zu verwandeln. Sichern Sie zuerst entfernte Arbeit, wenn der Pfad noch antwortet, und schaffen Sie einen zweiten Zugang, bevor Sie die Netzwerkkonfiguration auf einem Rechner ändern, den Sie aus der Ferne verwalten.

Warum pauschales Abschießen und Profillöschung irreführen

Prozessnamen wie pppd, racoon und configd gehören zu bestimmten Implementierungen. Sie abzuschießen kann andere Verbindungen betreffen, lässt Routen und utun-Schnittstellen zurück und gibt Ihnen keinen Nachweis, welcher Schritt hing. Ein alter Prozessname ist auch kein Beleg dafür, dass er das aktuelle Profil besitzt.

Das Profil zu löschen und neu anzulegen ist ein größerer Eingriff als das Räumen eines hängenden Übergangs. Er kann verwaltete Einstellungen und lokales Identitätsmaterial verwerfen, ohne zu erklären, was gescheitert ist, und auf einem überwachten Mac wird das Profil womöglich einfach wiederhergestellt. Sparen Sie sich das Entfernen für eine wirklich veraltete Konfiguration und diagnostizieren Sie stattdessen den Übergang.

Eine Stoppfolge, die eine Spur hinterlässt

Die Reihenfolge unten lässt die eigenen Bedienelemente der Verbindung zuständig und erzeugt einen Nachweis, falls der Hänger zurückkommt. Sie bewahrt Sie außerdem davor, ein Anzeigeproblem in eine Netzwerkänderung zu verwandeln.

  1. Sichern Sie entfernte Arbeit und stellen Sie sicher, dass Sie den Mac auf einem anderen Weg erreichen, wenn er entfernt steht.
  2. Notieren Sie Clientname, Version und Profil. Zeichnen Sie ein kurzes Fenster mit log show --last 5m --predicate 'subsystem == "com.apple.networkextension"' auf; ältere Versionen halten weniger Historie vor, deshalb starten Sie das bald nach dem Hänger.
  3. Nutzen Sie die dokumentierte Schaltfläche „Trennen“, warten Sie, und wiederholen Sie dann die Prüfungen von Schnittstelle und Routen.
  4. Ist die Anzeige veraltet, der Tunnel aber unten, lassen Sie sie stehen und den Client aktualisieren, statt Prozesse zu erzwingen.
  5. Hat der Abbau wirklich gehangen, starten Sie den Client neu und planen dann einen Neustart des Macs, sobald Arbeit gesichert ist. Verwaltete Rechner brauchen das Verfahren des Administrators.

Bestätigen Sie nach der Erholung, dass die gewöhnliche Standardroute und der DHCP-Resolver zurück sind und dass blockierter Verkehr entweder wiederhergestellt oder absichtlich weiter blockiert ist. Notieren Sie Profil und Clientversion zusammen mit dem Symptom, damit der nächste Fall mit Belegen beginnt statt mit einer Vermutung aus der Menüleiste.

Ähnliche Artikel