Mikä oikeasti muuttuu, kun vaihdat tallennettuja VPN-asetuksia macOS:ssä
Tallennetun Macin VPN:n vaihtaminen ei ole profiilin vaihto. Katso, mikä muuttuu reiteissä, DNS:ssä ja tunnistetiedoissa, ja miten varmistat tunnelin, jonka todella sait.
Avaat VPN-luettelon, valitset toisen tallennetun merkinnän ja odotat puhdasta vaihtoa: uusi lähtöosoite ja kaikki muu ennallaan. Juuri tästä oletuksesta kannattaa luopua ensin. macOS:ssä tallennettu VPN on täysi verkkopalvelu eikä esiasetus, joten palvelun vaihtaminen voi muuttaa samalla reitityksen, DNS:n ja todennuksen. Valikkorivi kertoo, mikä palvelu on aktiivinen; se ei kerro, vastaako sen alla oleva tunneli sitä, mitä tarkoitit.
Tallennettu luettelo ei ole profiilivalitsin
Jokainen Järjestelmäasetukset > Verkko -kohdan merkintä on oma palvelunsa, jolla on oma palvelinosoite, tili, todennusmenetelmä, DNS-palvelimet ja asetukset kuten Lähetä kaikki liikenne VPN-yhteyden kautta. Vanhemmat versiot pitävät samaa luetteloa Järjestelmäasetuksissa. Kaksi merkintää voi osoittaa samaan isäntänimeen ja käyttäytyä silti eri tavoin, koska protokolla tai asiakaslaajennus päättää, miten tunneli rakennetaan.
Kolmannen osapuolen asiakkaat pitävät erillisiä luetteloita. Tunnelblick lukee asetukset omasta kansiostaan, WireGuardilla on oma tunneliluettelonsa ja OpenVPN Connect tallentaa profiilit sovelluksen sisään. Jotkut rekisteröivät asetuksen järjestelmään; toiset pitävät kaiken sovelluksessa eivätkä koskaan näy sisäänrakennetussa luettelossa. Siksi «vaihda tallennettuun» tarkoittaa eri toimia sen mukaan, mikä sovellus omistaa profiilin.
scutil --nc list tulostaa järjestelmäasetuksiin rekisteröidyt VPN-palvelut lainausmerkeissä olevine nimineen. Käytä juuri näitä nimiä, kun skriptaat vaihdon, äläkä oleta, että luettelo kattaa jokaisen kolmannen osapuolen tunnelin.
Mitä vaihto oikeasti muuttaa
Neljä asiaa liikkuu yhdessä, kun aktiivinen palvelu vaihtuu. Oletusreitti seuraa uutta tunnelia, jos palvelu lähettää kaiken liikenteen; ratkaisijaluettelo vaihtuu palvelun määrittämiin DNS-palvelimiin; uudet yhteydet ottavat lähteeksi uuden tunnelin osoitteen; ja käytössä olevat tunnistetiedot kuuluvat uudelle palvelulle. Natiivi asetus ja sovellusprofiili eivät ole vaihdettavissa, vaikka molemmat päättyisivät samaan yhdyskäytävään.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
DNS-osa yllättää ihmiset. macOS pitää ratkaisijajärjestystä, ja scutil --dns näyttää, mitkä ratkaisijat ovat käytössä ja millä liitännällä. VPN-palvelu ilman määritettyjä DNS-palvelimia voi jättää Wi-Fi-ratkaisijan vastaamaan, joten saat uuden julkisen osoitteen vanhalla DNS-käyttäytymisellä ja päättelet vaihdon toimineen puoliksi.
Miksi vanha asetus tulee aina takaisin
Jos katkaiset yhteyden ja sama palvelu yhdistyy hetken kuluttua uudelleen, katso ensin On Demand -asetusta. Yhteyden muodostaminen pyynnöstä -sääntö voi tuoda palvelun takaisin, kun sovellus ratkaisee vastaavan verkkotunnuksen, ja hallintaprofiili voi pakottaa saman säännön. Merkinnän poistaminen korjaa tämän harvoin: profiililla asennettu asetus palaa yleensä seuraavassa profiilin päivityksessä, ja käsin tehty voi jättää salasanansa Keychainiin, kun palvelu on poissa.
Toisen palvelun käynnistäminen ei aina pysäytä ensimmäistä. Asiakkaasta ja protokollasta riippuen voit päätyä kahteen tunneliin ja kahteen reittijoukkoon, ja palvelujen järjestys sekä reitin tarkkuus ratkaisevat, kumpi kantaa liikennettä, ei viimeksi klikkaamasi kuvake. Tarkista liitännät ennen kuin oletat vaihdon tapahtuneen.
Varmista tunneli, älä valintamerkkiä
Käy läpi järjestelmän oma näkymä ennen kuin kosket asetuksiin.scutil --nc status "Name" kertoo, mitä järjestelmä uskoo;ifconfig näyttää, onko liitännällä utun osoite;netstat -rn -f inet näyttää, mihin oletusreitti osoittaa;scutil --dns näyttää todella käytössä olevan ratkaisijan. Avaa sitten tuore yhteys ja vahvista lähtöosoite, sillä jo kirjautunut sivu saattaa käyttää yhä vanhaan tunneliin sidottua pistoketta.
Jos DNS vastaa yhä paikallisesta verkosta, vertaa palvelun määritettyjä palvelimia ratkaisijaluetteloon. Jos oletusreitti osoittaa yhä fyysiseen liitäntään, palvelu on jaetun tunnelin tila tai ei ole täysin yhdistetty. Molemmat ovat asetuksen tuloksia, eivät todiste rikkinäisestä asiakkaasta.
Vaihtojärjestys, joka välttää yllätykset
- Kirjaa nykyinen palvelu ja se, hallitseeko profiili sitä.
- Katkaise se ensin, kun kaksi tunnelia eivät voi olla samaan aikaan.
- Yhdistä kohde ja odota Yhdistetty, älä Yhdistetään.
- Tarkista oletusreitti, ratkaisijaluettelo ja tuore lähtöosoite.
- Käynnistä uudelleen sovellukset, jotka pitävät pitkäikäisiä istuntoja.
Pidä vanha merkintä, kunnes uusi läpäisee nämä tarkistukset, ja anna jokaiselle merkinnälle eri nimi; samanlaiset nimet vaikeuttavat seuraavan vian kohdistamista. Applen Mac-ohje kuvaa natiivin puolen sivulla VPN-yhteyden määrittäminen Macissa, joka on viite, joka kannattaa tarkistaa ennen hallitun asetuksen muokkaamista.
Jos valinta palautuu, käsittele sitä ensin käytäntönä tai On Demandina. Vahvista, kuka omistaa asetuksen ja onko se asetettu yhdistämään automaattisesti, ja päätä sitten vaihdatko palvelua vai taisteletko profiilia vastaan.