VPN ב-Mac תקוע על «מתנתק»: מה באמת פועל

«מתנתק» הוא מצב שהלקוח מדווח בזמן שהוא מפרק מנהרה, לא פסק דין שהתעבורה נעצרה. ב-Mac הפירוק הזה מתבצע כרצף קצר, והתווית משתנה רק אחרי שהרכיב שמחזיק בחיבור מדווח בחזרה. כששלב ממתין לעוזר, לתוסף או להחלטת מדיניות, התווית יכולה להישאר שם אחרי שהממשק נעלם, או שהמנהרה יכולה להמשיך להעביר מנות בזמן שהתפריט עדיין מציג אותה. התייחסו לטקסט כ«פירוק בעיצומו, התוצאה אינה ידועה» וגלו איזה חצי נכון.

שתי תקלות נראות זהות מסרגל התפריט ודורשות תגובות הפוכות. באחת המנהרה עדיין נושאת מנות ורק התצוגה מיושנת. בשנייה המנהרה נעלמה אבל מדיניות נפרדת מחזיקה את התעבורה חסומה, ולעיתים קרובות זה במכוון. מסלולים ומצב DNS מפרידים ביניהן מהר יותר מכל פעולה בתפריט.

מה התווית עוקבת אחריו

לקוח VPN מחזיק מכונת מצבים קטנה, וסרגל התפריט הוא השלכה שלה. בחיבור ש-macOS עצמו מנהל, המכונה הזאת יושבת במסגרת ה-VPN של המערכת. במנהרה שמנוהלת על ידי אפליקציה, היא יושבת באפליקציה ובעוזר המורשה שלה. השלב האחרון של עצירה אינו סגירת שקע. הוא שחרור מה שהפעיל את המנהרה: ממשק utun, המסלולים שהצביעו עליו, רשומות הפותר שהלקוח הזריק, וכל כלל חומת אש או מדיניות שחסמה תעבורה בזמן החיבור.

השלבים האלה נפרדים, ולכן עצירה יכולה להיתקע בכל אחד מהם. עוזר שמפסיק לענות, מסלול שממשק שני תובע גם הוא, או רשומת פותר שנמצאת בבעלות פרופיל אחר יכולים להשאיר את הלקוח ממתין. התווית היא דוח על ההתקדמות של הלקוח עצמו, מה שהופך אותה לסמכותית בנוגע לכוונה ובלתי אמינה בנוגע לרשת.

מצאו את הרכיב שמחזיק בחיבור

בתצורות מקוריות, scutil --nc list מדפיס את השירותים שהמערכת מכירה ואת מצבם, ו-scutil --nc status "Work VPN" נותן פירוט לשירות אחד. מנהרה שעוזר של אפליקציית צד שלישי מחזיק בה עשויה כלל לא להופיע ברשימה הזאת, ולכן תוצאה ריקה אינה ראיה לכך ששום דבר אינו מחובר.

כשהפרופיל שייך לאפליקציה, הסתמכו על תצוגת המצב שלה ועל פקודת «התנתק» המתועדת שלה. סגירת החלון אינה בקשת עצירה אם עוזר רקע מחזיק במנהרה; הסמל נעלם והעוזר מחזיק את הממשק בחיים. מדריך הגדרות VPN של אפל מכסה את הפקדים המקוריים ומאיפה מגיעות הגדרות מנוהלות.

קראו ממשקים, מסלולים ו-DNS

שלוש בדיקות עונות על רוב השאלה בלי לגעת בחיבור. החשוב הוא לפרש אותן יחד, כי כל אחת לבדה מטעה.

scutil --nc list
netstat -rn -f inet | head -20
ifconfig | grep -A 3 '^utun'
scutil --dns | head -30

• ממשק utun קיים, מסלול ברירת מחדל או מפוצל עובר דרכו, הפותר מצביע לספק: המנהרה עדיין למעלה והתווית מיושנת.
• אין utun, מסלול ברירת מחדל רגיל, DNS מ-DHCP, אין אינטרנט: מדיניות שחוסמת כשמנותקים עושה את עבודתה.
• אין utun, אין מסלול, הפותר עדיין מצביע לספק: הפירוק עצר באמצע, ו-DNS הוא השארית שיש לנקות.

לאחר מכן שלחו בקשה אחת למארח פנימי שאמור לענות רק דרך המנהרה ואחת למארח ציבורי. נגישות מפרידה בין מדיניות למצב שיורי בלי להפוך את הבדיקה לתרגיל מדידה. שמרו קודם עבודה מרחוק אם הנתיב עדיין מגיב, וסדרו דרך כניסה שנייה לפני שתשנו את הרשת במחשב שאתם מנהלים מרחוק.

למה הריגה גורפת ומחיקת פרופיל מטעות

שמות תהליכים כמו pppd, racoon ו-configd שייכים למימושים מסוימים. הריגתם עלולה להשפיע על חיבורים אחרים, משאירה מסלולים וממשקי utun מאחור, ואינה נותנת לכם תיעוד של איזה שלב נתקע. גם שם תהליך ישן אינו ראיה לכך שהוא מחזיק בפרופיל הנוכחי.

מחיקה ויצירה מחדש של הפרופיל היא שינוי גדול יותר מניקוי מעבר תקוע. היא עלולה לזרוק הגדרות מנוהלות וחומר זהות מקומי בלי להסביר מה נכשל, וב-Mac בפיקוח היא עשויה פשוט להיות משוחזרת. שמרו את ההסרה לתצורה שבאמת מיושנת ואבחנו במקום זאת את המעבר.

רצף עצירה שמשאיר עקבה

הסדר שלהלן משאיר את הפקדים של החיבור עצמו באחריות ומייצר תיעוד אם התקיעה תחזור. הוא גם מונע מכם להפוך בעיית תצוגה לשינוי ברשת.

1. שמרו עבודה מרחוק, וודאו שתוכלו להגיע ל-Mac בדרך אחרת אם הוא מרוחק.
2. רשמו את שם הלקוח, הגרסה והפרופיל. תפסו חלון קצר עם log show --last 5m --predicate 'subsystem == "com.apple.networkextension"'; גרסאות ישנות יותר שומרות פחות היסטוריה, ולכן הריצו זאת מיד אחרי התקיעה.
3. השתמשו בפקודת «התנתק» המתועדת, המתינו, ואז חזרו על בדיקות הממשק והמסלולים.
4. אם התווית מיושנת אבל המנהרה למטה, הניחו לה ותנו ללקוח להתרענן במקום לכפות תהליכים.
5. אם הפירוק באמת נתקע, הפעילו מחדש את הלקוח, ואז תכננו הפעלה מחדש של ה-Mac לאחר שהעבודה נשמרה. מחשבים מנוהלים דורשים את הנוהל של המנהל.

אחרי ההתאוששות ודאו שמסלול ברירת המחדל הרגיל והפותר של DHCP חזרו, ושהתעבורה החסומה או שוחזרה או עדיין חסומה בכוונה. רשמו את הפרופיל ואת גרסת הלקוח יחד עם התסמין, כדי שההופעה הבאה תתחיל מראיות ולא מניחוש מסרגל התפריט.