Zer aldatzen da benetan macOS-en gordetako VPN konfigurazioak aldatzean
Gordetako Mac VPN bat aldatzea ez da profil bat trukatzea. Ikusi zer aldatzen den ibilbide, DNS eta kredentzialetan, eta nola egiaztatu benetan lortu duzun tunela.
VPN zerrenda irekitzen duzu, beste gordetako sarrera aukeratzen duzu eta aldaketa garbia espero duzu: irteera helbide berria eta gainerako guztia aldatu gabe. Hori da lehenik baztertu beharreko hipotesia. macOS-en gordetako VPN bat sareko zerbitzu osoa da, ez aurrezarpen bat, beraz zerbitzuak aldatzeak bideratzea, DNSa eta autentifikazioa aldi berean alda ditzake. Menu-barra zerbitzu bat aktibo dagoen esaten du; ez du esaten azpiko tunela zuk nahi zenuenarekin bat datorren.
Gordetako zerrenda ez da profil hautatzailea
Sistema Ezarpenak > Sarea ataleko sarrera bakoitza bere zerbitzua da, bere zerbitzari helbidea, kontua, autentifikazio metodoa, DNS zerbitzariak eta Bidalia trafiko guztia VPN konexioaren bidez bezalako aukerak dituena. Bertsio zaharrek Sistema Hobespenak atalean zerrenda bera dute. Bi sarrerek ostalari-izen berberera jo dezakete eta hala ere desberdin jokatu, zeren protokoloak edo bezeroaren luzapenak erabakitzen du tunela nola eraikitzen den.
Hirugarrenen bezeroek zerrenda bereiziak dituzte. Tunnelblickek konfigurazioak bere karpetatik irakurtzen ditu, WireGuardek bere tunel zerrenda du eta OpenVPN Connectek profilak aplikazioaren barruan gordetzen ditu. Batzuek konfigurazioa sisteman erregistratzen dute; besteek dena aplikazioaren barruan gordetzen dute eta ez dira inoiz barneko zerrendan agertzen. Beraz, «gordetakoera aldatu» ekintza desberdinak esan nahi ditu profilaren jabe den aplikazioaren arabera.
scutil --nc list sistemaren konfigurazioan erregistratutako VPN zerbitzuak inprimatzen ditu, izenak komatxo artean. Erabili izen zehatz horiek aldaketa script bidez egitean, eta ez pentsatu zerrendak hirugarrenen tunel guztiak hartzen dituenik.
Zer aldatzen du benetan aldaketak
Lau gauza batera mugitzen dira zerbitzu aktiboa aldatzen denean. Bide lehenetsiak tunel berria jarraitzen du zerbitzu horrek trafiko guztia bidaltzen badu; ebazleen zerrenda zerbitzuak zehazten dituen DNS zerbitzarietara aldatzen da; konexio berriek tunel berriaren helbidea hartzen dute iturri gisa; eta erabiltzen ari diren kredentzialak zerbitzu berriarenak dira. Konfigurazio natiboa eta aplikazio profil bat ez dira trukagarriak, biak ate berberean amaitzen badira ere.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
DNS atalak harrapatzen ditu pertsonak. macOSek ebazleen ordena mantentzen du, eta scutil --dns erakusten du zein ebazle erabiltzen ari diren eta zein interfazetan. DNS zerbitzaririk gabeko VPN zerbitzu batek Wi-Fi ebazlea erantzuten utzi dezake, beraz helbide publiko berria lortzen duzu DNS jokabide zaharrarekin eta aldaketak erdi funtzionatu duela ondorioztatzen duzu.
Zergatik itzultzen da beti konfigurazio zaharra
Deskonektatzen bazara eta zerbitzu berak une bat geroago berriro konektatzen bada, begiratu On Demand lehenik. Eskaria dagoenean konektatzeko erregelak zerbitzu bat itzul dezake aplikazioren batek domeinu bat ebazten duenean, eta kudeaketa profil batek erregela bera ezar dezake. Sarrera ezabatzeak gutxitan konpontzen du: profilez instalatutako konfigurazioa profilaren hurrengo freskatzean itzultzen da normalean, eta eskuzkoak bere pasahitza Keychain-en utz dezake zerbitzua desagertuta.
Bigarren zerbitzu bat abiatzeak ez du beti lehenengoa gelditzen. Bezeroaren eta protokoloaren arabera bi tunel eta bi ibilbide multzorekin amaitu zaitezke, eta zerbitzuen ordenak eta ibilbidearen espezifikotasunak erabakitzen dute zeinek daraman trafikoa, ez azkenekoz klikatu duzun ikonoak. Egiaztatu interfazeak aldaketa gertatu dela pentsatu aurretik.
Egiaztatu tunela, ez markatxoa
Ibili sistemaren ikuspegia ezarpenak ukitu aurretik.scutil --nc status "Name" sistemak zer uste duen jakinarazten du;ifconfig erakusten du interfaze batek utun helbidea duen;netstat -rn -f inet erakusten du bide lehenetsiak nora jotzen duen;scutil --dns erakusten du benetan erabiltzen ari den ebazlea. Ondoren, ireki konexio berri bat eta berretsi irteera helbidea, jada saioa hasita zuen orrialde batek oraindik tunel zaharrarekin lotutako socket bat erabil dezakeelako.
DNSak tokiko saretik erantzuten badu oraindik, alderatu zerbitzuak konfiguratutako zerbitzariak ebazleen zerrendarekin. Bide lehenetsiak interfaze fisikora jotzen badu oraindik, zerbitzua split-tunnel da edo ez dago guztiz konektatuta. Biak konfigurazioaren emaitzak dira, ez bezero hondatu baten froga.
Ustekabeak saihesten dituen aldaketa ordena
- Idatzi uneko zerbitzua eta profil batek kudeatzen duen.
- Deskonektatu lehenik bi tunelak elkarrekin egon ezin direnean.
- Konektatu jomuga eta itxaron Konektatuta, ez Konektatzen.
- Egiaztatu bide lehenetsia, ebazleen zerrenda eta irteera helbide berri bat.
- Berrabiarazi saio luzeak mantentzen dituzten aplikazioak.
Mantendu sarrera zaharra berriak proba horiek gainditzen dituen arte, eta eman sarrera bakoitzari izen desberdin bat; etiketa berdinak hurrengo hutsa egozten zailtzeko egiten dute. Apple-ren Mac laguntzak alde natiboa deskribatzen du VPN konexio bat konfiguratzea Mac-en orrialdean, kudeatutako konfigurazio bat editatu aurretik begiratu beharreko erreferentzia.
Hautaketa atzera egiten badu, tratatu lehenik politika edo On Demand gisa. Berretsi konfigurazioaren jabea nor den eta automatikoki konektatzeko ezarrita dagoen, eta gero erabaki zerbitzu bat aldatzen ari zaren edo profil baten aurka borrokatzen ari zaren.