Η σειρά υπηρεσιών του macOS δεν ελέγχει τις διαδρομές VPN σας

Κάτι σε έναν ιστότοπο αποτυγχάνει, ένας συνάδελφος θυμάται ότι υπάρχει η σειρά υπηρεσιών και το Wi-Fi σέρνεται πάνω από το Ethernet. Τίποτα δεν αλλάζει, γιατί αυτή η λίστα δεν αποφάσισε ποτέ πού πηγαίνει ένας προορισμός VPN. Η Apple δίνει στις συνδέσεις VPN προτεραιότητα έναντι των συνηθισμένων και τις κρατά έξω από αυτή την αναδιάταξη, οπότε ο διακόπτης απαντά σε στενότερο ερώτημα από αυτό που τίθεται. Η αποτυχία χρειάζεται τη διαδρομή που επιλέχθηκε και τον resolver, όχι μια νέα κατάταξη.

Τι αλλάζει η σειρά υπηρεσιών και τι δεν αγγίζει ποτέ

Το «Ορισμός σειράς υπηρεσιών» βρίσκεται στις Ρυθμίσεις συστήματος, Δίκτυο, στο μενού Ενέργεια, και κατατάσσει τις συνηθισμένες συνδέσεις όταν δύο ή περισσότερες είναι ενεργές. Αυτή η κατάταξη επιλέγει την κύρια υπηρεσία, η οποία παρέχει την προεπιλεγμένη διαδρομή και μέρος της συμπεριφοράς του resolver. Είναι μια ισοπαλία μεταξύ ομοτίμων, όχι διακόπτης για ιδιωτικούς προορισμούς πίσω από σήραγγα. Ένας φορητός με Wi-Fi και προσαρμογέα USB Ethernet τη χρησιμοποιεί για να απαντήσει σε ένα λογικό ερώτημα, και αυτό το ερώτημα δεν αφορά τη σήραγγα.

Ένα προφίλ VPN μεταφέρει διαδρομές που περιλαμβάνονται, προορισμούς που εξαιρούνται και μερικές φορές κανόνες ανά εφαρμογή, και αυτά αποφασίζουν τι μπαίνει στη σήραγγα· το μενού ταξινόμησης δεν τα επεξεργάζεται. Γι' αυτό ένα προφίλ split tunnel μπορεί να αφήσει την κοινή κίνηση έξω, ενώ το VPN εξακολουθεί να υπερέχει κάθε φυσικής διασύνδεσης. Το σέρσιμο του Wi-Fi στην κορυφή δεν μπορεί να κάνει προσβάσιμο ένα ιδιωτικό εύρος και δεν μπορεί να σταματήσει έναν προορισμό που το προφίλ ήδη περιλαμβάνει. Η λίστα μετακινεί διασυνδέσεις· το προφίλ μετακινεί προθέματα. Η Apple τεκμηριώνει την προτεραιότητα στη σελίδα σειράς υπηρεσιών δικτύου, που αξίζει μια ανάγνωση πριν αναδιοργανώσετε οτιδήποτε.

Διαβάστε τη διαδρομή που επέλεξε πραγματικά το μηχάνημα

Ρωτήστε το μηχάνημα πού πηγαίνει μια συγκεκριμένη διεύθυνση με route get 10.20.4.10 και επαναλάβετε το για IPv6 με route -n get -inet6 2001:db8::10. Οι δύο οικογένειες είναι ξεχωριστές αποφάσεις, οπότε μια λειτουργική διαδρομή IPv4 δεν λέει τίποτα για την v6, και ένα απευθείας συνδεδεμένο υποδίκτυο ή ένα πιο συγκεκριμένο πρόθεμα νικά ούτως ή άλλως τη γενική ετικέτα σύνδεσης, που είναι ακριβώς ο λόγος που η ετικέτα συνεχίζει να παραπλανά.

Αν η έξοδος ονομάζει τη διασύνδεση της σήραγγας, το προφίλ κατέλαβε τον προορισμό και η ταξινόμηση είναι άσχετη. Αν ονομάζει τη φυσική διασύνδεση, το προφίλ δεν το έκανε, και κανένα σέρσιμο δεν θα αλλάξει τον πίνακα προθεμάτων. Και οι δύο έξοδοι ονομάζουν επίσης τη διεύθυνση προέλευσης που θα χρησιμοποιούσε το μηχάνημα, και αυτό είναι το πεδίο που πρέπει να παραθέσετε όταν συγκρίνετε δύο εκτελέσεις. Αποθηκεύστε την έξοδο πριν αλλάξετε οτιδήποτε, γιατί είναι η μόνη απόδειξη που θα έχετε μετά.

Το DNS επιλύει με βάση το όνομα, όχι τη διασύνδεση

Οι περιορισμένοι και ανά τομέα resolvers σημαίνουν ότι η απάντηση μπορεί να διαφέρει ανά όνομα και όχι ανά διασύνδεση. Το scutil --dns εκτυπώνει τη διαμόρφωση resolver που χρησιμοποιεί πραγματικά το σύστημα, μαζί με τις περιορισμένες εγγραφές. Η σειρά υπηρεσιών επηρεάζει ποια υπηρεσία παρέχει τον προεπιλεγμένο resolver, αλλά ένα πεδίο ειδικό για όνομα μπορεί να κερδίσει παρά ταύτα.

Γι' αυτό ένα ping σε μια διεύθυνση μπορεί να λειτουργεί ενώ το όνομα κεντρικού υπολογιστή αποτυγχάνει, ή το αντίστροφο. Διαβάστε και τις δύο εξόδους πριν επιλέξετε ένοχο.

Αλλάξτε το προφίλ και μετά ξαναδιαβάστε και τις δύο εξόδους

Όταν μια πολιτική προορισμού πρέπει να αλλάξει, ο ιδιοκτήτης είναι το προφίλ VPN: διαδρομές που περιλαμβάνονται, διαδρομές που εξαιρούνται και όποιους κανόνες split tunnel υποστηρίζει ο προμηθευτής. Το να αλλάζετε διασυνδέσεις απλώς μετακινεί τη συζήτηση. Σε Mac που διαχειρίζεται απομακρυσμένα, αποθηκεύστε πρώτα την τρέχουσα κατάσταση δικτύου, γιατί το να χάσετε τη σήραγγα σε μηχάνημα που δεν μπορείτε να φτάσετε είναι ταξίδι και όχι επαναφορά.

Αναπαράγετε την αποτυχία, διαβάστε τη διαδρομή, διαβάστε τον resolver, αλλάξτε ένα πράγμα και μετά διαβάστε ξανά τις ίδιες δύο εξόδους. Το ανακάτεμα πολλών υπηρεσιών και προφίλ ταυτόχρονα αφήνει ένα μηχάνημα που κανείς δεν μπορεί να εξηγήσει, ούτε αυτός που το διόρθωσε. Το τεστ τελειώνει όταν και οι δύο έξοδοι συμφωνούν με την αλλαγή που σκοπεύατε. Αν ακόμη διαφωνούν, το προφίλ και το μηχάνημα περιγράφουν δύο διαφορετικές πολιτικές, και το προφίλ είναι αυτό που πρέπει να αλλάξει.