Mac-eko VPNa «Deskonektatzen» itsatsita: zer dabil benetan

«Deskonektatzen» bezeroak tunel bat desmuntatzen duen bitartean jakinarazten duen egoera da, ez trafikoa gelditu deneko epaia. Mac batean desmuntatze hori sekuentzia labur moduan gertatzen da, eta etiketa soilik aldatzen da konexioa duen osagaiak berriro jakinarazi ondoren. Urrats batek laguntzaile baten, plugin baten edo politika-erabaki baten zain dagoenean, etiketa han geratu daiteke interfazea desagertu ondoren, edo tunelak aurrera egiten jarrai dezake menuak oraindik erakusten duen bitartean. Hartu testua «desmuntatzea martxan, emaitza ezezaguna» gisa eta argitu zein erdi den egia.

Hutsegite bi berdin ikusten dira menu-barratik eta aurkako erantzunak eskatzen dituzte. Batean tunelak paketeak daramatzan eta bistaratzea soilik zaharkituta dago. Bestean tunela desagertu da baina politika bereizi batek trafikoa blokeatuta mantentzen du, sarritan nahita. Bideek eta DNS egoerak menuko edozein elkarreraginek baino azkarrago bereizten dituzte.

Zer jarraitzen duen etiketak

VPN bezeroak egoera-makina txiki bat mantentzen du, eta menu-barra haren proiekzioa da. macOSek berak kudeatzen duen konexioan, makina hori sistemako VPN esparruan dago. Aplikazioak kudeatzen duen tunel batean, aplikazioan eta haren pribilegiozko laguntzailean dago. Gelditze baten azken urratsa ez da socket bat ixtea. Tunela funtzionarazten zuenaren askapena da: utun interfazea, hara zuzentzen ziren bideak, bezeroak txertatu zituen ebazle-sarrerak eta konexioa aktibo zegoen bitartean trafikoa blokeatzen zuen suebaki-arau edo politika oro.

Urrats horiek bereiziak dira, beraz gelditzea edozeinetan trabatu daiteke. Erantzuteari uzten dion laguntzaile batek, bigarren interfaze batek ere eskatzen duen bide batek edo beste profil batek duen ebazle-sarrera batek bezeroa itxaroten utz dezakete. Etiketa bezeroaren beraren aurrerapenari buruzko txostena da, eta horrek asmoari dagokionez autoritatea ematen dio eta sareari dagokionez fidagarritasuna kentzen.

Aurkitu konexioa duen osagaia

Konfigurazio natiboetan, scutil --nc list-ek sistemak ezagutzen dituen zerbitzuak eta haien egoera inprimatzen ditu, eta scutil --nc status "Work VPN"-ek zerbitzu baten xehetasunak ematen ditu. Hirugarrenen aplikazio batek eutsitako tunela ez da agian zerrenda horretan agertuko, beraz emaitza hutsa ez da ezer konektatuta ez dagoenik frogatzen duen ebidentzia.

Profila aplikazio batena denean, haren egoera-ikuspegian eta dokumentatutako «Deskonektatu» kontrolan fidatu. Leihoa ixtea ez da gelditzeko eskaera tunela atzeko planoan dagoen laguntzaile batek badu; ikonoa desagertu egiten da eta laguntzaileak interfazea bizirik mantentzen du. Apple-en VPN ezarpenen erreferentzia dokumentuak kontrol natiboak eta kudeatutako ezarpenak nondik datozen biltzen ditu.

Irakurri interfazeak, bideak eta DNSa

Hiru egiaztapenek galderaren zatirik handiena erantzuten dute konexioa ukitu gabe. Elkarrekin interpretatzea da garrantzitsua, bakarka bakoitzak engainatzen baitu.

scutil --nc list
netstat -rn -f inet | head -20
ifconfig | grep -A 3 '^utun'
scutil --dns | head -30

• utun interfazea dago, haren bidez bide lehenetsia edo zatitua doa, ebazleak hornitzaileari erakusten dio: tunela oraindik aktibo dago eta etiketa zaharkituta.
• utunik ez, bide lehenetsi arrunta, DNS DHCPtik, internetik ez: deskonektatzean blokeatzen duen politika batek bere lana egiten du.
• utunik ez, biderik ez, ebazleak oraindik hornitzaileari erakusten dio: desmuntatzea erdibidean gelditu da, eta DNS garbitu beharreko hondarra da.

Ondoren, bidali eskaera bat tuneletik soilik erantzun behar duen barneko ostalari batera eta beste bat ostalari publikora. Irisgarritasunak politika hondar-egoeratik bereizten du, egiaztapena neurketa-ariketa bihurtu gabe. Gorde urrutiko lana lehenengo bideak oraindik erantzuten badu, eta antolatu sarbide bigarren bide bat urrunetik administratzen duzun makina batean sareko ezarpenak aldatu aurretik.

Zergatik engainatzen duten hilketa orokorrek eta profilaren ezabaketak

pppd, racoon eta configd bezalako prozesu-izenak inplementazio jakin batzuenak dira. Haiek hiltzeak beste konexio batzuei eragin diezaieke, bideak eta utun interfazeak atzean uzten ditu eta ez dizu erregistrorik ematen zein urrats trabatu zen jakiteko. Prozesu-izen zaharra ere ez da uneko profila duenik frogatzen duen ebidentzia.

Profila ezabatzea eta berriro sortzea trabatutako trantsizio bat garbitzea baino aldaketa handiagoa da. Kudeatutako ezarpenak eta tokiko identitate-materiala bota ditzake huts egin zuenaren azalpenik eman gabe, eta gainbegiratutako Mac batean agian besterik gabe leheneratuko da. Utzi ezabatzea benetan zaharkituta dagoen konfigurazio baterako eta diagnostikatu trantsizioa horren ordez.

Aztarna uzten duen gelditze-sekuentzia

Beheko ordenak konexioaren beraren kontrolak uzten ditu arduradun eta erregistro bat sortzen du trabamendua itzultzen bada. Bistaratze-arazo bat sare-aldaketa bihurtzetik ere babesten zaitu.

1. Gorde urrutiko lana, eta egiaztatu Mac-era beste modu batera irits zaitezkeela urrunekoa bada.
2. Idatzi bezeroaren izena, bertsioa eta profila. Harrapatu leiho labur bat log show --last 5m --predicate 'subsystem == "com.apple.networkextension"' erabiliz; argitalpen zaharragoek historia gutxiago gordetzen dute, beraz exekutatu trabamendua gertatu eta berehala.
3. Erabili dokumentatutako «Deskonektatu» kontrola, itxaron eta gero errepikatu interfazearen eta bideen egiaztapenak.
4. Etiketa zaharkituta badago baina tunela behera badago, utzi horrela eta utzi bezeroari freskatzen, prozesuak behartzeari ordez.
5. Desmuntatzea benetan trabatu bada, berrabiarazi bezeroa, eta gero planifikatu Mac-aren berrabiarazte bat lana gorde ondoren. Kudeatutako makinek administratzailearen prozedura behar dute.

Berreskuratu ondoren, egiaztatu bide lehenetsi arrunta eta DHCP ebazlea itzuli direla, eta blokeatutako trafikoa leheneratu dela edo oraindik nahita blokeatuta dagoela. Idatzi profila eta bezeroaren bertsioa sintomarekin batera, hurrengo agerraldia menu-barrako susmo batetik baino ebidentziatik has dadin.