מה באמת משתנה כשמחליפים תצורות VPN שמורות ב-macOS
החלפת VPN שמור ב-Mac אינה החלפת פרופיל. ראו מה משתנה במסלולים, ב-DNS ובפרטי הגישה, ואיך לאמת את המנהרה שקיבלתם בפועל.
אתם פותחים את רשימת ה-VPN, בוחרים את הרשומה השמורה האחרת ומצפים להחלפה נקייה: כתובת יציאה חדשה וכל השאר ללא שינוי. זו ההנחה שכדאי לוותר עליה קודם. ב-macOS VPN שמור הוא שירות רשת מלא ולא הגדרה מוכנה מראש, ולכן החלפת שירותים יכולה לשנות בו-זמנית ניתוב, DNS ואימות. שורת התפריטים מראה איזה שירות פעיל; היא אינה אומרת אם המנהרה שמתחתיו תואמת את מה שהתכוונתם לו.
הרשימה השמורה אינה בורר פרופילים
כל רשומה בהגדרות המערכת > רשת היא שירות בפני עצמו, עם כתובת השרת שלו, החשבון, שיטת האימות, שרתי ה-DNS ואפשרויות כמו שליחת כל התעבורה דרך חיבור ה-VPN. גרסאות ישנות מחזיקות את אותה רשימה בהעדפות המערכת. שתי רשומות יכולות להצביע לאותו שם מארח ובכל זאת להתנהג אחרת, מפני הפרוטוקול או הרחבת הלקוח קובעים כיצד נבנית המנהרה.
לקוחות של צד שלישי מחזיקים רשימות נפרדות. Tunnelblick קורא תצורות מהתיקייה שלו, WireGuard מחזיק רשימת מנהרות משלו, ו-OpenVPN Connect מאחסן פרופילים בתוך האפליקציה. חלקם רושמים תצורה במערכת; אחרים מחזיקים הכול בתוך האפליקציה ולעולם אינם מופיעים ברשימה המובנית. לכן „לעבור לשמורה” פירושו פעולות שונות לפי האפליקציה שבבעלותה הפרופיל.
scutil --nc list מדפיס את שירותי ה-VPN הרשומים בתצורת המערכת, עם השמות במירכאות. השתמשו בשמות המדויקים האלה כשאתם מתסרטים החלפה, ואל תניחו שהרשימה מכסה כל מנהרה של צד שלישי.
מה החלפה באמת משנה
ארבעה דברים זזים יחד כשהשירות הפעיל משתנה. המסלול המוגדר כברירת מחדל עוקב אחרי המנהרה החדשה אם אותו שירות שולח את כל התעבורה; רשימת הפותרות משתנה לשרתי ה-DNS שהשירות מגדיר; חיבורים חדשים לוקחים את כתובת המנהרה החדשה כמקור שלהם; ופרטי הגישה שבשימוש שייכים לשירות החדש. תצורה מקורית ופרופיל אפליקציה אינם ברי החלפה, גם כששניהם מסתיימים באותו שער.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
חלק ה-DNS הוא מה שמפתיע אנשים. macOS שומר על סדר פותרות, ו-scutil --dns מראה אילו פותרות בשימוש ובאיזה ממשק. שירות VPN בלי שרתי DNS מוגדרים יכול להשאיר את פותרת ה-Wi-Fi עונה, כך שתקבלו כתובת ציבורית חדשה עם התנהגות ה-DNS הישנה ותסיקו שההחלפה עבדה חצי.
למה התצורה הישנה חוזרת
אם תנותקו ואותו שירות יתחבר שוב כעבור רגע, בדקו קודם את On Demand. כלל חיבור לפי דרישה יכול להחזיר שירות כשאפליקציה פותרת דומיין מתאים, ופרופיל ניהול יכול לכפות את אותו כלל. מחיקת הרשומה מפתרת את זה לעיתים רחוקות: תצורה שהותקנה בפרופיל חוזרת בדרך כלל ברענון הפרופיל הבא, ותצורה ידנית יכולה להשאיר את הססמה שלה ב-Keychain בעוד השירות נעלם.
הפעלת שירות שני אינה תמיד עוצרת את הראשון. בהתאם ללקוח ולפרוטוקול אפשר לסיים עם שתי מנהרות ושתי קבוצות מסלולים, וסדר השירותים יחד עם מידת הספציפיות של המסלול קובעים מי נושא את התעבורה, לא הסמל שלחצתם עליו לאחרונה. בדקו את הממשקים לפני שאתם מניחים שההחלפה התרחשה.
אמתו את המנהרה, לא את הסימן
עברו על התצוגה של המערכת עצמה לפני שאתם נוגעים בהגדרות.scutil --nc status "Name" מדווח מה המערכת חושבת;ifconfig מראה אם לממשק utun יש כתובת;netstat -rn -f inet מראה לאן מצביע המסלול המוגדר כברירת מחדל;scutil --dns מראה את הפותרת שבשימוש בפועל. אחר כך פתחו חיבור חדש ואשרו את כתובת היציאה, כי עמוד שכבר היה מחובר עלול עדיין להשתמש בסוקט הקשור למנהרה הישנה.
אם ה-DNS עדיין עונה מהרשת המקומית, השוו את השרתים המוגדרים של השירות לרשימת הפותרות. אם המסלול המוגדר כברירת מחדל עדיין מצביע לממשק הפיזי, השירות הוא מנהרה מפוצלת או שאינו מחובר לגמרי. שניהם תוצאות של תצורה, לא הוכחה ללקוח מקולקל.
סדר החלפה שנמנע מהפתעות
- רשמו את השירות הנוכחי והאם פרופיל מנהל אותו.
- נתקו אותו קודם כששתי המנהרות אינן יכולות להתקיים יחד.
- חברו את היעד והמתינו ל„מחובר”, לא ל„מתחבר”.
- בדקו את המסלול המוגדר כברירת מחדל, את רשימת הפותרות וכתובת יציאה חדשה.
- הפעילו מחדש אפליקציות שמחזיקות הפעלות ארוכות.
השאירו את הרשומה הישנה עד שהחדשה תעבור את הבדיקות האלה, ותנו לכל רשומה שם נפרד; תוויות זהות מקשות לייחס את הכשל הבא. העזרה של Apple ל-Mac מתארת את הצד המקורי ב-הגדרת חיבור VPN ב-Mac, שהוא המקור לבדוק לפני עריכת תצורה מנוהלת.
אם הבחירה חוזרת אחורה, התייחסו לזה קודם כמדיניות או כ-On Demand. אשרו מי הבעלים של התצורה והאם היא מוגדרת להתחבר אוטומטית, ואז החליטו אם אתם מחליפים שירות או נלחמים בפרופיל.