Što se doista mijenja kad promijenite spremljene VPN konfiguracije na macOS-u
Promjena spremljenog Mac VPN-a nije zamjena profila. Pogledajte što se mijenja u rutama, DNS-u i vjerodajnicama te kako provjeriti tunel koji ste stvarno dobili.
Otvorite popis VPN-a, odaberete drugi spremljeni unos i očekujete čistu zamjenu: novu izlaznu adresu i sve ostalo nepromijenjeno. Tu pretpostavku treba prvo odbaciti. Na macOS-u je spremljeni VPN puna mrežna usluga, a ne unaprijed postavljena vrijednost, pa promjena usluge može istodobno promijeniti usmjeravanje, DNS i autentifikaciju. Traka izbornika pokazuje koja je usluga aktivna; ne pokazuje odgovara li tunel ispod nje vašoj namjeri.
Spremljeni popis nije birač profila
Svaki unos u Postavkama sustava > Mreža zasebna je usluga, s vlastitom adresom poslužitelja, računom, metodom autentifikacije, DNS poslužiteljima i opcijama poput Slanje cjelokupnog prometa kroz VPN vezu. Starija izdanja drže isti popis u Postavkama sustava. Dva unosa mogu pokazivati na isto ime hosta i ipak se ponašati drukčije, jer protokol ili proširenje klijenta odlučuje kako se tunel gradi.
Klijenti trećih strana drže odvojene popise. Tunnelblick čita konfiguracije iz vlastite mape, WireGuard drži vlastiti popis tunela, a OpenVPN Connect pohranjuje profile unutar aplikacije. Neki registriraju konfiguraciju u sustavu; drugi drže sve unutar aplikacije i nikad se ne pojavljuju na ugrađenom popisu. Zato „prijeđi na spremljeno“ znači različite radnje ovisno o tome koja aplikacija posjeduje profil.
scutil --nc list ispisuje VPN usluge registrirane u konfiguraciji sustava, s imenima pod navodnicima. Rabite točno ta imena kada skriptirate promjenu i ne pretpostavljajte da popis pokriva svaki tunel treće strane.
Što promjena doista mijenja
Četiri stvari kreću se zajedno kad se aktivna usluga promijeni. Zadana ruta slijedi novi tunel ako ta usluga šalje sav promet; popis razrješivača mijenja se u DNS poslužitelje koje usluga navodi; nove veze uzimaju novu adresu tunela kao svoj izvor; a vjerodajnice u uporabi pripadaju novoj usluzi. Ugrađena konfiguracija i profil aplikacije nisu zamjenjivi, čak i kad oba završavaju na istom pristupniku.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
DNS dio najčešće zbuni ljude. macOS održava redoslijed razrješivača, a scutil --dns pokazuje koji su razrješivači u uporabi i na kojem sučelju. VPN usluga bez postavljenih DNS poslužitelja može ostaviti Wi-Fi razrješivač da odgovara, pa dobijete novu javnu adresu sa starim DNS ponašanjem i zaključite da je promjena napola uspjela.
Zašto se stara konfiguracija vraća
Ako se odspojite i ista se usluga trenutak kasnije ponovno spoji, prvo pogledajte On Demand. Pravilo spajanja na zahtjev može vratiti uslugu kad aplikacija razriješi odgovarajuću domenu, a upravljački profil može nametnuti isto pravilo. Brisanje unosa to rijetko rješava: konfiguracija instalirana profilom obično se vraća pri sljedećem osvježavanju profila, a ručna može ostaviti lozinku u Keychainu dok usluge više nema.
Pokretanje druge usluge ne zaustavlja uvijek prvu. Ovisno o klijentu i protokolu možete završiti s dva tunela i dva skupa ruta, a redoslijed usluga i specifičnost rute odlučuju koja nosi promet, a ne ikona na koju ste zadnje kliknuli. Provjerite sučelja prije nego pretpostavite da se zamjena dogodila.
Provjerite tunel, a ne kvačicu
Prođite kroz vlastiti pogled sustava prije nego dirnete postavke.scutil --nc status "Name" izvješćuje što sustav misli;ifconfig pokazuje ima li sučelje utun adresu;netstat -rn -f inet pokazuje kamo vodi zadana ruta;scutil --dns pokazuje razrješivač koji se stvarno rabi. Zatim otvorite svježu vezu i potvrdite izlaznu adresu, jer stranica koja je već prijavljena možda još rabi socket vezan za stari tunel.
Ako DNS još odgovara iz lokalne mreže, usporedite postavljene poslužitelje usluge s popisom razrješivača. Ako zadana ruta još pokazuje na fizičko sučelje, usluga je split-tunnel ili nije potpuno povezana. Oboje su rezultat konfiguracije, a ne dokaz pokvarenog klijenta.
Redoslijed promjene bez iznenađenja
- Zabilježite trenutačnu uslugu i upravlja li njome profil.
- Prvo je odspojite kada dva tunela ne mogu postojati zajedno.
- Spojite cilj i čekajte Povezano, a ne Povezivanje.
- Provjerite zadanu rutu, popis razrješivača i svježu izlaznu adresu.
- Ponovno pokrenite aplikacije koje drže dugotrajne sesije.
Držite stari unos dok novi ne prođe te provjere i dajte svakom unosu različito ime; istovjetne oznake čine sljedeći kvar teže pripisivim. Appleova pomoć za Mac opisuje ugrađenu stranu na Postavljanje VPN veze na Macu, što je referenca koju treba provjeriti prije uređivanja upravljane konfiguracije.
Ako se odabir vraća, prvo to tretirajte kao pravilo ili On Demand. Potvrdite kome pripada konfiguracija i je li postavljena za automatsko povezivanje, pa odlučite mijenjate li uslugu ili se borite s profilom.