Mis tegelikult muutub, kui vahetate macOS-is salvestatud VPN-i seadistusi
Salvestatud Maci VPN-i vahetamine ei ole profiili vahetus. Vaadake, mis muutub marsruutides, DNS-is ja mandaatides, ning kuidas kontrollida tunnelit, mille tegelikult saite.
Avate VPN-i loendi, valite teise salvestatud kirje ja ootate puhast vahetust: uus väljumisaadress ja kõik muu muutumatuna. Sellest eeldusest tuleks kõigepealt loobuda. macOS-is on salvestatud VPN täisväärtuslik võrguteenus, mitte eelseade, seega teenuste vahetamine võib korraga muuta marsruutimist, DNS-i ja autentimist. Menüüriba näitab, milline teenus on aktiivne; see ei ütle, kas selle all olev tunnel vastab teie kavatsusele.
Salvestatud loend ei ole profiilivalija
Iga kirje jaotises System Settings > Network on omaette teenus, oma serveriaadressi, kontoga, autentimismeetodiga, DNS-serveritega ja valikutega nagu Saada kogu liiklus üle VPN-ühenduse. Vanemates versioonides hoiab sama loendit System Preferences. Kaks kirjet võivad osutada samale hostinimele ja käituda siiski erinevalt, sest protokoll või kliendi laiendus otsustab, kuidas tunnel ehitatakse.
Kolmanda osapoole kliendid hoiavad eraldi loendeid. Tunnelblick loeb seadistusi oma kaustast, WireGuardil on oma tunneliloend ja OpenVPN Connect hoiab profiile rakenduse sees. Mõned registreerivad seadistuse süsteemis; teised hoiavad kõike rakenduses ega ilmu kunagi sisseehitatud loendisse. Seega tähendab «lülitu salvestatule» sõltuvalt profiili omanikust erinevaid toiminguid.
scutil --nc list trükib süsteemiseadistusse registreeritud VPN-teenused koos nimedega jutumärkides. Kasutage skriptimisel täpselt neid nimesid ja ärge eeldage, et loend katab iga kolmanda osapoole tunneli.
Mida vahetus tegelikult muudab
Neli asja liiguvad koos, kui aktiivne teenus muutub. Vaikimisi marsruut järgib uut tunnelit, kui see teenus saadab kogu liikluse; resolverite loend muutub teenuse määratud DNS-serveriteks; uued ühendused võtavad allikaks uue tunneli aadressi; ja kasutatavad mandaadid kuuluvad uuele teenusele. Põline seadistus ja rakenduse profiil ei ole vahetatavad, isegi kui mõlemad lõppevad samas lüüsis.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
DNS-i osa ajab inimesi segadusse. macOS hoiab resolverite järjekorda ja scutil --dns näitab, millised resolverid on kasutusel ja millises liideses. VPN-teenus, millel pole DNS-servereid seadistatud, võib jätta vastama Wi-Fi resolveri, nii et saate uue avaliku aadressi vana DNS-käitumisega ja järeldate, et vahetus töötas poolikult.
Miks vana seadistus ikka tagasi tuleb
Kui ühenduse katkestate ja sama teenus hetk hiljem uuesti ühendub, vaadake kõigepealt On Demand-i. Nõudmisel ühendamise reegel võib teenuse tagasi tuua, kui rakendus lahendab sobiva domeeni, ja haldusprofiil võib sama reegli kehtestada. Kirje kustutamine parandab seda harva: profiiliga paigaldatud seadistus naaseb tavaliselt järgmisel profiili värskendusel ja käsitsi tehtud seadistus võib jätta oma parooli Keychaini, kui teenus on kadunud.
Teise teenuse käivitamine ei peata alati esimest. Sõltuvalt kliendist ja protokollist võite jääda kahe tunneli ja kahe marsruudikogumiga ning teenuste järjekord ja marsruudi täpsus otsustavad, milline liiklust kannab, mitte ikoon, millele viimasena klõpsasite. Kontrollige liideseid enne, kui eeldate, et vahetus toimus.
Kontrollige tunnelit, mitte linnukest
Enne seadistuste puutumist käige läbi süsteemi enda vaade.scutil --nc status "Name" teatab, mida süsteem usub;ifconfig näitab, kas liidesel utun on aadress;netstat -rn -f inet näitab, kuhu vaikimisi marsruut osutab;scutil --dns näitab tegelikult kasutatavat resolverit. Seejärel avage värske ühendus ja kinnitage väljumisaadress, sest juba sisse logitud leht võib endiselt kasutada pesa, mis on seotud vana tunneliga.
Kui DNS vastab endiselt kohalikust võrgust, võrrelge teenuse seadistatud servereid resolverite loendiga. Kui vaikimisi marsruut osutab endiselt füüsilisele liidesele, on teenus split-tunnel või pole täielikult ühendatud. Mõlemad on seadistuse tulemus, mitte tõestus katkisest kliendist.
Vahetuste järjekord, mis väldib üllatusi
- Märkige praegune teenus ja kas profiil seda haldab.
- Katkestage see esimesena, kui kaks tunnelit ei saa koos eksisteerida.
- Ühendage sihtkoht ja oodake olekut Ühendatud, mitte Ühendamine.
- Kontrollige vaikimisi marsruuti, resolverite loendit ja värsket väljumisaadressi.
- Taaskäivitage rakendused, mis hoiavad pikaajalisi sessioone.
Hoidke vana kirjet, kuni uus need kontrollid läbib, ja andke igale kirjele eristuv nimi; identsed sildid teevad järgmise tõrke omistamise keerulisemaks. Apple’i Maci abi kirjeldab põlist poolt lehel VPN-ühenduse seadistamine Macis, mis on viide, mida tasub kontrollida enne haldatava seadistuse muutmist.
Kui valik pöördub tagasi, käsitlege seda esmalt poliitika või On Demand-i küsimusena. Kinnitage, kellele seadistus kuulub ja kas see on seatud automaatselt ühenduma, seejärel otsustage, kas vahetate teenust või võitlete profiiliga.