Die Dienstreichenfolge unter macOS steuert Ihre VPN-Routen nicht
Die Dienstreichenfolge wählt zwischen gewöhnlichen Schnittstellen. Ein VPN steht ohnehin darüber, und seine mitgelieferten Routen stammen aus dem Profil, nicht aus dieser Liste.
Etwas auf einer Website schlägt fehl, jemand erinnert sich, dass es die Dienstreichenfolge gibt, und Wi-Fi wird über Ethernet gezogen. Nichts ändert sich, weil diese Liste nie entschieden hat, wohin ein VPN-Ziel geht. Apple gibt VPN-Verbindungen Vorrang vor gewöhnlichen und hält sie aus dieser Umsortierung heraus, sodass der Schalter eine engere Frage beantwortet als die gestellte. Der Fehler braucht die gewählte Route und den Resolver, keine neue Rangfolge.
Was die Dienstreichenfolge ändert und was sie nie berührt
Dienstreichenfolge festlegen liegt unter Systemeinstellungen, Netzwerk, im Aktionsmenü, und sie ordnet gewöhnliche Verbindungen, wenn zwei oder mehr aktiv sind. Diese Rangfolge bestimmt den primären Dienst, der die Standardroute und einen Teil des Resolver-Verhaltens liefert. Sie ist ein Stichentscheid unter Gleichrangigen, kein Schalter für private Ziele hinter einem Tunnel. Ein Laptop mit Wi-Fi und einem USB-Ethernet-Adapter nutzt sie, um eine vernünftige Frage zu beantworten, und diese Frage betrifft nicht den Tunnel.
Ein VPN-Profil trägt mitgelieferte Routen, ausgeschlossene Ziele und manchmal Regeln pro Anwendung, und diese entscheiden, was in den Tunnel gelangt; das Sortiermenü bearbeitet sie nicht. Deshalb kann ein Split-Tunnel-Profil öffentlichen Verkehr draußen lassen, während das VPN weiterhin jede physische Schnittstelle überragt. Wi-Fi nach oben zu ziehen macht einen privaten Bereich nicht erreichbar und kann ein Ziel, das das Profil bereits umfasst, nicht aufhalten. Die Liste verschiebt Schnittstellen; das Profil verschiebt Präfixe. Apple dokumentiert den Vorrang auf seiner Seite zur Reihenfolge der Netzwerkdienste, die man einmal lesen sollte, bevor man etwas umstellt.
Lesen Sie die Route, die der Rechner tatsächlich gewählt hat
Fragen Sie den Rechner, wohin eine bestimmte Adresse geht, mit route get 10.20.4.10, und wiederholen Sie das für IPv6 mit route -n get -inet6 2001:db8::10. Die beiden Familien sind getrennte Entscheidungen, daher sagt ein funktionierender IPv4-Pfad nichts über den v6-Pfad aus, und ein direkt verbundenes Subnetz oder ein spezifischeres Präfix schlägt ohnehin die allgemeine Verbindungskennzeichnung, was genau der Grund ist, warum die Kennzeichnung die Leute weiterhin in die Irre führt.
Nennt die Ausgabe die Tunnelschnittstelle, hat das Profil das Ziel erfasst und die Sortierung ist irrelevant. Nennt sie die physische Schnittstelle, hat das Profil es nicht getan, und kein Ziehen ändert die Präfixtabelle. Beide Ausgaben nennen außerdem die Quelladresse, die der Rechner verwenden würde, und das ist das Feld, das Sie beim Vergleich zweier Läufe zitieren sollten. Speichern Sie die Ausgabe, bevor Sie etwas ändern, denn sie ist der einzige Beweis, den Sie danach haben.
DNS löst nach Namen auf, nicht nach Schnittstelle
Gescopte und domänenspezifische Resolver bedeuten, dass die Antwort je nach Namen statt je nach Schnittstelle abweichen kann. scutil --dns gibt die Resolver-Konfiguration aus, die das System tatsächlich verwendet, einschließlich gescopter Einträge. Die Dienstreichenfolge beeinflusst, welcher Dienst den Standard-Resolver liefert, aber ein namensspezifischer Scope kann trotzdem gewinnen.
Deshalb kann ein Ping auf eine Adresse funktionieren, während der Hostname fehlschlägt, oder umgekehrt. Lesen Sie beide Ausgaben, bevor Sie einen Schuldigen wählen.
Ändern Sie das Profil und lesen Sie dann beide Ausgaben erneut
Wenn sich eine Richtlinie für Ziele ändern muss, ist der Eigentümer das VPN-Profil: mitgelieferte Routen, ausgeschlossene Routen und die Split-Tunnel-Regeln, die der Anbieter unterstützt. Schnittstellen stattdessen zu ändern verschiebt nur die Diskussion. Auf einem fernverwalteten Mac speichern Sie zuerst den aktuellen Netzwerkzustand, denn den Tunnel auf einem Rechner zu verlieren, den Sie nicht erreichen können, ist eine Reise und kein Rollback.
Reproduzieren Sie den Fehler, lesen Sie die Route, lesen Sie den Resolver, ändern Sie eine Sache und lesen Sie dann dieselben zwei Ausgaben erneut. Mehrere Dienste und Profile auf einmal zu durchmischen hinterlässt einen Rechner, den niemand erklären kann, auch nicht die Person, die ihn repariert hat. Der Test ist beendet, wenn beide Ausgaben mit der beabsichtigten Änderung übereinstimmen. Widersprechen sie sich noch, beschreiben Profil und Rechner zwei verschiedene Richtlinien, und das Profil ist dasjenige, das geändert werden muss.