Sinu Mac ühendab VPN-i ise uuesti: kontrolli nõudmisel töötavat reeglit

Ühendad VPN-i lahti ja kolmkümmend sekundit hiljem on menüüriba ikoon jälle kohal. Miski ei kummita: macOS-i nõudmisel reeglid alustavad ühendust, kui võrk muutub või kui miski küsib nime, mille reegel katab, ja reegel võib elada profiilis, mida sa pole kunagi kirjutanud. Allpool olevate kontrollide järjekorras läbimine on kiirem kui kliendi uuesti paigaldamine. Reegel on poliitika, seega loe poliitikat enne, kui sellega võitlema hakkad.

Mida reegel tegelikult jälgib

Nõudmisel reeglil on kaks otsustuspunkti: võrk, millega Mac on ühendatud, ja domeen, mida miski lahendada üritab. Kumbki neist võib tunnelit tõsta, mistõttu sisemise nime otsimine käivitab VPN-i, mida keegi ei avanud. Juurutamine vajab ka autentimist, mis töötab ilma kohal oleva inimeseta, mistõttu valitsevad hallatud masinaparkides sertifikaadipõhised lahendused.

Süsteemipoliitika kõrval võib eksisteerida rakendusepõhine taasühenduse valik, seega on esimene küsimus milline mehhanism tunneli taasühendas. Kontrolli kõigepealt süsteemipoliitikat, seejärel klienti ja alles siis seda, kes klõpsas Ühenda lahti. Enamik vastutustundlikuna näivaid kliendi eelistusi ei ole seda. See järjekord loeb, sest süsteemipoliitika võidab vaikimisi ja kliendi tasandi säte suudab selgitada ainult juhtumeid, mida poliitika ei kata.

Kellele poliitika kuulub ja mida eemaldamine maksab

Loe paigaldatud profiili ja toetatud kliendi juhtelemente enne, kui kumbagi muudad. Kui Maci hallatakse, on tingimused kuskil dokumenteeritud, ja selle dokumendi küsimine on parem kui SSID-de ja domeenide tagurpidi lahendamine väljastpoolt.

Macil olev usaldusmaterjal on jagatud iga teise teenusega, mis seda kasutab, seega on tühistamine viimane samm, mitte esimene. Eemalda profiil, millele reegel kuulub, seejärel kinnita, et reegel lakkab vallandamast, enne kui sertifikaati puutud. Poolenisti eemaldatud profiil on täpselt põhjus, miks inimesed järeldavad, et käitumine on juhuslik. Kaks käsku, mis näitavad, mis on paigaldatud, tasub alles jätta:

profiles show -type configuration
scutil --nc list

Mida taasühendamine ei tõesta

Nõudmisel taasühendamine ei ütle lünga kohta midagi: kuni tunnel tõuseb, võib liiklus ikkagi füüsilisest liidesest välja minna, kui eraldi poliitika seda ei hoia. Enne tunneli olemasolu blokeerimine on teine säte kui tunneli käivitamine. Masin, mis ühendub kiiresti uuesti, võib esimestel sekunditel ikkagi lekkida.

Marsruutide ulatus on kolmas küsimus, sest tunnelit käivitav reegel ei ütle midagi selle kohta, milliseid prefikseid see kannab. Kinnita, mida ühendus marsruudib, selle asemel et eeldada, et taasühendamine tähendab täielikku katvust. Testi seda meelega: sulge klient, kinnita, et teenus on peatatud, seejärel küsi ressurssi, mida reegel peaks kaitsma.

Kirjuta üles päästik, mitte ikoon

Kirjuta üles, mis tunneli tõstis: võrguga liitumine, rakenduse avamine, privaatse nime lahendamine, unest ärkamine. Pane tähele, millal see juhtub, mitte ainult seda, et juhtus, sest järjekord on tõend. Konkreetne päästik on väärtuslikum kui ikooni ekraanipilt.

Seejärel kontrolli ressurssi pärast ühenduse tõusmist. Menüüriba tõestab, et teenus töötab, mitte et vajalik sihtkoht on selle kaudu kättesaadav. Need kaks võivad lahkneda täiesti tavalistel põhjustel, sealhulgas marsruut, mis osutab mujale.

Kui reegel käivitab vale ühenduse

Ühendus, mis käivitub siis, kui ei peaks, tuleb tavaliselt aegunud profiilist, kavatsetust laiemast domeenitingimusest või kahest konfiguratsioonist, mis võistlevad sama võrgu pärast. Kõik kolm on paigaldatud konfiguratsioonis nähtavad ja ükski ei muutu selgemaks teenuse sisse- ja väljalülitamisest.

Vii päästik, profiili omanik ja kavatsetud käitumine selle juurde, kes poliitikat haldab. Apple’i dokumentatsioon nõudmisel töötamise kohta on selle vestluse ühine sõnavara ja see on lühem kui vaidlus. Küsi poliitika muutmist, mitte eemaldamist, ja mõlemad pooled säilitavad töötava seadistuse.