O teu Mac reconecta a VPN só: revisa a regra baixo demanda

Desconectas a VPN e, trinta segundos despois, a icona da barra de menús volve estar aí. Non hai nada de meigallo: as regras baixo demanda de macOS inician unha conexión cando cambia a rede ou cando algo pide un nome que a regra cubre, e a regra pode vivir nun perfil que nunca escribiches. Percorrer as comprobacións de abaixo en orde é máis rápido que reinstalar o cliente. A regra é unha política, así que le a política antes de loitar con ela.

Que vixía realmente a regra

A regra baixo demanda ten dous puntos de decisión: a rede á que está conectado o Mac e un dominio que algo intenta resolver. Calquera dos dous pode levantar o túnel, e por iso buscar un nome interno inicia unha VPN que ninguén abriu. O despregue tamén precisa unha autenticación que funcione sen unha persoa presente, e por iso os esquemas baseados en certificados dominan as flotas xestionadas.

Xunto á política do sistema pode existir unha opción de reconexión por aplicación, así que a primeira pregunta é que mecanismo reconectou o túnel. Comproba primeiro a política do sistema, despois o cliente e só ao final quen fixo clic en Desconectar. A maioría das preferencias do cliente que parecen responsables non o son. Esa orde importa porque a política do sistema gaña por defecto, e un axuste a nivel de cliente só pode explicar os casos que a política non cubre.

De quen é a política e que custa quitarla

Le o perfil instalado e os controis de cliente admitidos antes de cambiar calquera dos dous. Se o Mac está xestionado, as condicións están documentadas nalgún sitio, e pedir ese documento é mellor que facer enxeñaría inversa de SSID e dominios desde fóra.

O material de confianza do Mac compártese con todos os demais servizos que o usan, así que a revogación é o último paso e non o primeiro. Elimina o perfil que posúe a regra e despois confirma que a regra deixa de dispararse antes de tocar un certificado. Un perfil a medio quitar é xusto a razón pola que a xente conclúe que o comportamento é aleatorio. Os dous comandos que mostran que hai instalado paga a pena conservalos:

profiles show -type configuration
scutil --nc list

Que non demostra reconectar

Reconectar baixo demanda non di nada sobre o oco: mentres o túnel sobe, o tráfico aínda pode saír pola interface física salvo que unha política aparte o reté. Bloquear antes de que o túnel exista é un axuste distinto de iniciar o túnel. Unha máquina que reconecta con rapidez aínda pode filtrar durante os primeiros segundos.

O alcance das rutas é unha terceira pregunta, porque unha regra que inicia o túnel non di nada sobre que prefixos transporta. Confirma que encamiña a conexión en lugar de supor que reconectar significa cobertura completa. Próbao a propósito: pecha o cliente, confirma que o servizo está detido e logo solicita o recurso que a regra debe protexer.

Anota o desencadeante, non a icona

Anota que levantou o túnel: unirse a unha rede, abrir unha aplicación, resolver un nome privado, espertar do sono. Fíxate en cando ocorre e non só en que ocorreu, porque a secuencia é a proba. Un desencadeante concreto vale máis que unha captura da icona.

Despois verifica o recurso unha vez que a conexión sobe. A barra de menús demostra que un servizo se está executando, non que o destino que necesitas sexa alcanzable a través dela. Esas dúas cousas poden diverxer por motivos do todo correntes, incluída unha ruta que apunta a outro sitio.

Cando a regra inicia a conexión equivocada

Unha conexión que se inicia cando non toca adoita vir dun perfil obsoleto, dunha condición de dominio máis ampla do previsto ou de dúas configuracións que compiten pola mesma rede. As tres son visibles na configuración instalada, e ningunha se aclara activando e desactivando o servizo.

Leva o desencadeante, o propietario do perfil e o comportamento previsto a quen xestiona a política. A documentación de Apple sobre baixo demanda é o vocabulario compartido para esa conversa, e é máis curta que a discusión. Pide un cambio de política en lugar dunha retirada, e ambas as partes conservan unha configuración que funciona.