macOSin palvelujärjestys ei ohjaa VPN-reittejäsi

Jokin verkkosivustolla epäonnistuu, kollega muistaa, että palvelujärjestys on olemassa, ja Wi-Fi raahataan Ethernetin yläpuolelle. Mikään ei muutu, koska luettelo ei ole koskaan päättänyt, mihin VPN-kohde menee. Apple antaa VPN-yhteyksille etusijan tavallisiin nähden ja pitää ne tämän uudelleenjärjestelyn ulkopuolella, joten kytkin vastaa kapeampaan kysymykseen kuin esitetty. Vika tarvitsee valitun reitin ja resolverin, ei uutta paremmuusjärjestystä.

Mitä palvelujärjestys muuttaa ja mitä se ei koskaan kosketa

Valinta „Aseta palvelujärjestys” on kohdassa Järjestelmäasetukset > Verkko, Toiminto-valikossa, ja se järjestää tavalliset yhteydet, kun kaksi tai useampi on aktiivinen. Tämä järjestys valitsee ensisijaisen palvelun, joka tarjoaa oletusreitin ja osan resolverin toiminnasta. Se on tasapelin ratkaisu vertaisten kesken, ei kytkin tunnelin takana oleville yksityisille kohteille. Kannettava, jossa on Wi-Fi ja USB-Ethernet-sovitin, käyttää sitä järkevään kysymykseen vastaamiseen, eikä se kysymys koske tunnelia.

VPN-profiili kantaa sisältyviä reittejä, poissuljettuja kohteita ja joskus sovelluskohtaisia sääntöjä, ja ne päättävät, mikä menee tunneliin; järjestysvalikko ei muokkaa niitä. Siksi split-tunnel-profiili voi jättää julkisen liikenteen ulkopuolelle, kun VPN yhä päihittää jokaisen fyysisen liitännän. Wi-Fin raahaaminen huipulle ei tee yksityisestä alueesta tavoitettavaa eikä pysäytä kohdetta, jonka profiili jo sisältää. Luettelo siirtää liitäntöjä; profiili siirtää etuliitteitä. Apple dokumentoi etusijan verkkopalvelujen järjestyksen sivullaan, joka kannattaa lukea kerran ennen kuin järjestät mitään uudelleen.

Lue reitti, jonka kone todella valitsi

Kysy koneelta, mihin tietty osoite menee komennolla route get 10.20.4.10, ja toista se IPv6:lle komennolla route -n get -inet6 2001:db8::10. Nämä kaksi perhettä ovat erillisiä päätöksiä, joten toimiva IPv4-reitti ei kerro mitään v6:sta, ja suoraan kytketty aliverkko tai tarkempi etuliite päihittää joka tapauksessa yleisen yhteyden tunnisteen, mikä on juuri syy siihen, että tunniste jatkaa ihmisten harhaanjohtamista.

Jos tuloste nimeää tunnelin liitännän, profiili kaappasi kohteen eikä järjestyksellä ole merkitystä. Jos se nimeää fyysisen liitännän, profiili ei tehnyt sitä, eikä mikään raahaus muuta etuliitetaulua. Molemmat tulosteet nimeävät myös lähdeosoitteen, jota kone käyttäisi, ja se on kenttä, joka kannattaa lainata kahden ajon vertailussa. Tallenna tuloste ennen kuin muutat mitään, sillä se on ainoa todiste, joka sinulla on jälkeenpäin.

DNS ratkaisee nimen, ei liitännän mukaan

Rajatut ja toimialuekohtaiset resolverit tarkoittavat, että vastaus voi vaihdella nimen eikä liitännän mukaan. scutil --dns tulostaa resolverin kokoonpanon, jota järjestelmä todella käyttää, myös rajatut merkinnät. Palvelujärjestys vaikuttaa siihen, mikä palvelu tarjoaa oletusresolverin, mutta nimikohtainen rajaus voi silti voittaa.

Siksi ping osoitteeseen voi toimia, kun taas isäntänimi epäonnistuu, tai päinvastoin. Lue molemmat tulosteet ennen kuin valitset syyllisen.

Muuta profiilia ja lue sitten molemmat tulosteet uudelleen

Kun kohdekäytäntöä on muutettava, omistaja on VPN-profiili: sisältyvät reitit, poissuljetut reitit ja ne split-tunnel-säännöt, joita toimittaja tukee. Liitäntöjen muuttaminen vain siirtää väittelyä. Etähallitulla Macilla tallenna ensin nykyinen verkon tila, sillä tunnelin menettäminen koneella, johon et pääse, on matka eikä palautus.

Toista vika, lue reitti, lue resolver, muuta yhtä asiaa ja lue sitten samat kaksi tulostetta uudelleen. Usean palvelun ja profiilin sekoittaminen kerralla jättää koneen, jota kukaan ei osaa selittää, myös se, joka sen korjasi. Testi on valmis, kun molemmat tulosteet vastaavat aiotettua muutosta. Jos ne yhä eroavat, profiili ja kone kuvaavat kahta eri käytäntöä, ja profiili on se, jota pitää muuttaa.