ה-Mac שלך מתחבר מחדש ל-VPN מעצמו: בדוק את הכלל לפי דרישה

אתה מנתק את ה-VPN ושלושים שניות לאחר מכן סמל שורת התפריטים חזר. שום דבר לא רדוף: כללי לפי דרישה של macOS פותחים חיבור כשהרשת משתנה או כשמשהו מבקש שם שהכלל מכסה, והכלל יכול לשכון בפרופיל שמעולם לא כתבת. מעבר על הבדיקות שלמטה לפי הסדר מהיר יותר מהתקנה מחדש של הלקוח. הכלל הוא מדיניות, אז קרא את המדיניות לפני שתילחם בה.

מה הכלל באמת עוקב אחריו

לכלל לפי דרישה יש שתי נקודות החלטה: הרשת שאליה מחובר ה-Mac, ותחום שמשהו מנסה לפתור. כל אחד מהם יכול להעלות את המנהרה, ולכן חיפוש שם פנימי מפעיל VPN שאיש לא פתח. הפריסה זקוקה גם לאימות שעובד בלי אדם נוכח, ולכן הסדרים מבוססי תעודות שולטים בציים מנוהלים.

לצד מדיניות המערכת יכולה להתקיים אפשרות התחברות מחדש לכל יישום, ולכן השאלה הראשונה היא איזה מנגנון חיבר את המנהרה מחדש. בדוק קודם את מדיניות המערכת, אחר כך את הלקוח, ורק בסוף את מי שלחץ על ניתוק. רוב העדפות הלקוח שנראות אחראיות אינן כאלה. הסדר הזה חשוב מפני שמדיניות המערכת מנצחת כברירת מחדל, והגדרה ברמת הלקוח יכולה להסביר רק את המקרים שהמדיניות אינה מכסה.

למי שייכת המדיניות, ומה עולה הסרה

קרא את הפרופיל המותקן ואת בקרות הלקוח הנתמכות לפני שתשנה אחד מהם. אם ה-Mac מנוהל, התנאים מתועדים במקום כלשהו, ובקשה של המסמך הזה עדיפה על הנדסה לאחור של SSID ותחומים מבחוץ.

חומר האמון ב-Mac משותף לכל שירות אחר שמשתמש בו, ולכן שלילה היא הצעד האחרון ולא הראשון. הסר את הפרופיל שבעליו הכלל, ואז ודא שהכלל מפסיק לפעול לפני שתיגע בתעודה. פרופיל שהוסר למחצה הוא בדיוק הסיבה שאנשים מסיקים שההתנהגות אקראית. שתי הפקודות שמראות מה מותקן שווה לשמור:

profiles show -type configuration
scutil --nc list

מה התחברות מחדש לא מוכיחה

התחברות מחדש לפי דרישה לא אומרת דבר על הפער: בזמן שהמנהרה עולה, התעבורה עדיין יכולה לצאת דרך הממשק הפיזי אלא אם מדיניות נפרדת מחזיקה אותה. חסימה לפני שהמנהרה קיימת היא הגדרה שונה מהפעלת המנהרה. מכונה שמתחברת מחדש במהירות עדיין עלולה לדלוף בשניות הראשונות.

היקף המסלולים הוא שאלה שלישית, מפני שכלל שמפעיל את המנהרה לא אומר דבר על הקידומות שהוא נושא. ודא מה החיבור מנתב במקום להניח שהתחברות מחדש פירושה כיסוי מלא. בדוק את זה במכוון: סגור את הלקוח, ודא שהשירות נעצר, ואז בקש את המשאב שהכלל אמור להגן עליו.

תעד את הטריגר, לא את הסמל

רשום מה העלה את המנהרה: הצטרפות לרשת, פתיחת יישום, פתרון שם פרטי, התעוררות משינה. שים לב מתי זה קורה ולא רק שזה קרה, מפני שהרצף הוא הראיה. טריגר מסוים שווה יותר מצילום מסך של הסמל.

אחר כך אמת את המשאב לאחר שהחיבור עלה. שורת התפריטים מוכיחה ששירות פועל, לא שהיעד שאתה צריך נגיש דרכו. השניים יכולים להתפצל מסיבות שגרתיות לגמרי, כולל מסלול שמצביע למקום אחר.

כשהכלל מפעיל את החיבור הלא נכון

חיבור שמתחיל כשאסור לו בדרך כלל מגיע מפרופיל מיושן, מתנאי תחום רחב מהמתוכנן, או משתי תצורות שמתחרות על אותה רשת. שלושתם נראים בתצורה המותקנת, ואף אחד מהם לא מתברר יותר על ידי הפעלה וכיבוי של השירות.

הבא את הטריגר, את בעל הפרופיל ואת ההתנהגות המבוקשת למי שמנהל את המדיניות. התיעוד של Apple על לפי דרישה הוא אוצר המילים המשותף לשיחה הזו, והוא קצר מהוויכוח. בקש שינוי מדיניות במקום הסרה, ושני הצדדים ישמרו על מערך עובד.