Que cambia de verdade ao cambiar configuracións VPN gardadas en macOS
Cambiar unha VPN gardada do Mac non é un intercambio de perfil. Vexa que cambia en rutas, DNS e credenciais, e como verificar o túnel que realmente obtivo.
Abre a lista de VPN, escolle a outra entrada gardada e espera un cambio limpo: un enderezo de saída novo e todo o demais sen cambios. Ese é o suposto que hai que abandonar primeiro. En macOS unha VPN gardada é un servizo de rede completo e non un axuste predefinido, así que cambiar de servizo pode modificar á vez o encamiñamento, o DNS e a autenticación. A barra de menús di que servizo está activo; non di se o túnel de debaixo coincide co que vostede quería.
A lista gardada non é un selector de perfís
Cada entrada en Axustes do Sistema > Rede é un servizo propio, coa súa dirección de servidor, a súa conta, o seu método de autenticación, os seus servidores DNS e opcións como Enviar todo o tráfico pola conexión VPN. As versións anteriores manteñen a mesma lista en Preferencias do Sistema. Dúas entradas poden apuntar ao mesmo nome de host e comportarse distinto, porque o protocolo ou a extensión do cliente decide como se constrúe o túnel.
Os clientes de terceiros manteñen listas separadas. Tunnelblick le configuracións do seu propio cartafol, WireGuard garda a súa propia lista de túneles e OpenVPN Connect almacena perfís dentro da aplicación. Algúns rexistran unha configuración no sistema; outros gárdano todo dentro da aplicación e nunca aparecen na lista integrada. Por iso «cambiar á gardada» significa accións distintas segundo que aplicación posúa o perfil.
scutil --nc list imprime os servizos VPN rexistrados na configuración do sistema, cos nomes entre comiñas. Use eses nomes exactos cando programe un cambio, e non supoña que a lista cobre todos os túneles de terceiros.
Que cambia realmente un cambio
Catro cousas móvense á vez cando cambia o servizo activo. A ruta predeterminada segue o túnel novo se ese servizo envía todo o tráfico; a lista de resolutores pasa aos servidores DNS que especifica o servizo; as conexións novas toman o enderezo do túnel novo como orixe; e as credenciais en xogo pertencen ao servizo novo. Unha configuración nativa e un perfil de aplicación non son intercambiables, aínda que ambos terminen na mesma pasarela.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
A parte do DNS é a que desconcerta a xente. macOS mantén unha orde de resolutores, e scutil --dns mostra que resolutores se están a usar e en que interface. Un servizo VPN sen servidores DNS configurados pode deixar que responda o resolutor do Wi-Fi, así que obtén un enderezo público novo co comportamento DNS antigo e conclúe que o cambio funcionou a medias.
Por que volve a configuración antiga
Se se desconecta e o mesmo servizo se reconecta un intre despois, mire primeiro On Demand. Unha regra de conexión a demanda pode devolver un servizo cando unha aplicación resolve un dominio coincidente, e un perfil de xestión pode impoñer a mesma regra. Borrar a entrada raramente o arranxa: unha configuración instalada por perfil adoita volver na seguinte actualización do perfil, e unha manual pode deixar o seu contrasinal no Keychain mentres o servizo xa non está.
Iniciar un segundo servizo non sempre detén o primeiro. Segundo o cliente e o protocolo pode acabar con dous túneles e dous conxuntos de rutas, e a orde dos servizos e a especificidade da ruta deciden cal leva o tráfico, non a icona na que fixo clic ao final. Comprobe as interfaces antes de dar por feito que houbo un cambio.
Verifique o túnel, non a marca de verificación
Percorra a visión do propio sistema antes de tocar os axustes.scutil --nc status "Name" informa do que cre o sistema;ifconfig mostra se unha interface utun ten enderezo;netstat -rn -f inet mostra cara a onde apunta a ruta predeterminada;scutil --dns mostra o resolutor que se usa en realidade. Logo abra unha conexión nova e confirme o enderezo de saída, porque unha páxina que xa tiña sesión iniciada pode seguir usando un socket ligado ao túnel antigo.
Se o DNS segue respondendo desde a rede local, compare os servidores configurados do servizo coa lista de resolutores. Se a ruta predeterminada segue apuntando á interface física, o servizo é de túnel dividido ou non está completamente conectado. Ambas as dúas son resultados de configuración, non proba dun cliente roto.
Unha orde de cambio que evita sorpresas
- Anote o servizo actual e se algún perfil o xestiona.
- Desconécteo primeiro cando os dous túneles non poidan coexistir.
- Conecte o destino e espere Conectado, non Conectando.
- Comprobe a ruta predeterminada, a lista de resolutores e un enderezo de saída novo.
- Reinicie as aplicacións que manteñen sesións longas.
Conserve a entrada antiga ata que a nova pase esas comprobacións, e dea a cada entrada un nome distinto; as etiquetas idénticas fan máis difícil atribuír o seguinte fallo. A axuda do Mac de Apple describe a parte nativa en Configurar unha conexión VPN no Mac, que é a referencia que cómpre consultar antes de editar unha configuración xestionada.
Se a selección reverte, tráteo primeiro como política ou On Demand. Confirme quen posúe a configuración e se está definida para conectar automaticamente, e logo decida se está a cambiar un servizo ou loitando contra un perfil.