Votre Mac reconnecte le VPN tout seul : vérifiez la règle à la demande

Vous déconnectez le VPN et, trente secondes plus tard, l’icône de la barre des menus est de retour. Rien n’est hanté : les règles à la demande de macOS lancent une connexion quand le réseau change ou quand quelque chose demande un nom que la règle couvre, et la règle peut vivre dans un profil que vous n’avez jamais écrit. Parcourir les vérifications ci-dessous dans l’ordre est plus rapide que réinstaller le client. La règle est une stratégie, alors lisez la stratégie avant de vous battre contre elle.

Ce que la règle surveille réellement

La règle à la demande a deux points de décision : le réseau auquel le Mac est rattaché, et un domaine que quelque chose cherche à résoudre. L’un ou l’autre peut monter le tunnel, et c’est pourquoi la recherche d’un nom interne démarre un VPN que personne n’a ouvert. Le déploiement a aussi besoin d’une authentification qui fonctionne sans personne présente, et c’est pourquoi les dispositifs à base de certificats dominent les parcs gérés.

Une option de reconnexion par application peut coexister avec la stratégie système, donc la première question est quel mécanisme a reconnecté le tunnel. Vérifiez d’abord la stratégie système, puis le client, et seulement ensuite celui qui a cliqué sur Déconnecter. La plupart des préférences client qui semblent responsables ne le sont pas. Cet ordre compte parce que la stratégie système gagne par défaut, et un réglage au niveau du client ne peut expliquer que les cas que la stratégie ne couvre pas.

À qui appartient la stratégie, et ce que coûte un retrait

Lisez le profil installé et les contrôles client pris en charge avant de modifier l’un ou l’autre. Si le Mac est géré, les conditions sont documentées quelque part, et demander ce document vaut mieux que rétro-ingénierer des SSID et des domaines depuis l’extérieur.

Le matériel de confiance du Mac est partagé avec tous les autres services qui l’utilisent, donc la révocation est la dernière étape et non la première. Retirez le profil qui possède la règle, puis confirmez que la règle cesse de se déclencher avant de toucher à un certificat. Un profil à moitié retiré est exactement pourquoi les gens concluent que le comportement est aléatoire. Les deux commandes qui montrent ce qui est installé valent la peine d’être conservées :

profiles show -type configuration
scutil --nc list

Ce que la reconnexion ne prouve pas

La reconnexion à la demande ne dit rien du trou : pendant que le tunnel monte, le trafic peut encore sortir par l’interface physique, sauf si une stratégie distincte le retient. Bloquer avant que le tunnel existe est un réglage différent de démarrer le tunnel. Une machine qui se reconnecte vite peut encore fuir pendant les premières secondes.

L’étendue des routes est une troisième question, car une règle qui démarre le tunnel ne dit rien des préfixes qu’il transporte. Confirmez ce que la connexion route au lieu de supposer qu’une reconnexion signifie une couverture complète. Testez-le délibérément : quittez le client, confirmez que le service est arrêté, puis demandez la ressource que la règle est censée protéger.

Notez le déclencheur, pas l’icône

Notez ce qui a monté le tunnel : rejoindre un réseau, ouvrir une application, résoudre un nom privé, sortir de veille. Remarquez quand cela arrive plutôt que seulement que c’est arrivé, car la séquence est la preuve. Un déclencheur précis vaut plus qu’une capture d’écran de l’icône.

Vérifiez ensuite la ressource une fois la connexion montée. La barre des menus prouve qu’un service tourne, pas que la destination dont vous avez besoin est joignable à travers lui. Les deux peuvent diverger pour des raisons parfaitement ordinaires, dont une route qui pointe ailleurs.

Quand la règle démarre la mauvaise connexion

Une connexion qui démarre quand elle ne devrait pas vient généralement d’un profil obsolète, d’une condition de domaine plus large que prévu ou de deux configurations qui se disputent le même réseau. Les trois sont visibles dans la configuration installée, et aucune ne s’éclaircit en basculant le service.

Portez le déclencheur, le propriétaire du profil et le comportement attendu à qui gère la stratégie. La documentation d’Apple sur le mode à la demande est le vocabulaire commun de cette conversation, et elle est plus courte que la discussion. Demandez un changement de stratégie plutôt qu’un retrait, et les deux côtés gardent une installation qui fonctionne.