Mac VPN beragad a »Leválasztás« állapotba: mi fut valójában

A »Leválasztás« olyan állapot, amelyet a kliens az alagút bontása közben jelent, nem ítélet arról, hogy a forgalom megállt. Macen ez a bontás rövid sorrendként zajlik, és a címke csak akkor vált, amikor a kapcsolatot birtokló komponens visszajelez. Ha egy lépés egy segédre, egy bővítményre vagy egy házirend-döntésre vár, a címke ott maradhat, miután az interfész eltűnt, vagy az alagút tovább továbbíthat, miközben a menü még mutatja. Kezelje a szöveget úgy, hogy »bontás folyamatban, az eredmény ismeretlen«, és derítse ki, melyik fele igaz.

Két hiba egyformán néz ki a menüsorból, és ellentétes reakciót kíván. Az egyikben az alagút még visz csomagokat, és csak a megjelenítés elavult. A másikban az alagút eltűnt, de egy külön házirend blokkolva tartja a forgalmat, ami gyakran szándékos. Az útvonalak és a DNS állapota gyorsabban elválasztja őket, mint bármilyen menüművelet.

Mit követ a címke

A VPN-kliens kis állapotgépet tart, és a menüsor annak vetülete. Az macOS által kezelt kapcsolatnál ez a gép a rendszer VPN-keretrendszerében van. Az alkalmazás által kezelt alagútnál az alkalmazásban és annak kiemelt segédjében van. A leállítás utolsó lépése nem egy socket bezárása. Hanem annak elengedése, ami az alagutat működőképessé tette: az utun interfész, a rá mutató útvonalak, a kliens által beillesztett feloldó bejegyzések, és minden tűzfal-szabály vagy házirend, amely a kapcsolat fennállása alatt blokkolta a forgalmat.

Ezek a lépések különállóak, ezért a leállítás bármelyiküknél elakadhat. Egy segéd, amely abbahagyja a válaszadást, egy útvonal, amelyre egy második interfész is igényt tart, vagy egy feloldó bejegyzés, amely egy másik profilé, mind várva hagyhatja a klienst. A címke a kliens saját előrehaladásáról szóló jelentés, ami tekintéllyel ruházza fel a szándékot illetően, és megbízhatatlanná teszi a hálózatot illetően.

Keresse meg a kapcsolatot birtokló komponenst

Natív konfigurációknál a scutil --nc list kiírja a rendszer által ismert szolgáltatásokat és állapotukat, a scutil --nc status "Work VPN" pedig egy szolgáltatás részleteit adja. Előfordulhat, hogy a harmadik féltől származó alkalmazás alagútja egyáltalán nem jelenik meg ebben a listában, ezért az üres eredmény nem bizonyíték arra, hogy semmi sincs csatlakoztatva.

Ha a profil egy alkalmazáshoz tartozik, bízzon annak állapotnézetében és a dokumentált »Leválasztás« vezérlőjében. Az ablak bezárása nem leállítási kérés, ha egy háttérsegéd birtokolja az alagutat; az ikon eltűnik, és a segéd életben tartja az interfészt. Az Apple VPN-beállítások referenciája a natív vezérlőket és a kezelt beállítások eredetét tárgyalja.

Olvassa ki az interfészeket, útvonalakat és a DNS-t

Három ellenőrzés megválaszolja a kérdés nagy részét anélkül, hogy hozzányúlna a kapcsolathoz. Az a fontos, hogy együtt értelmezze őket, mert mindegyik önmagában félrevezet.

scutil --nc list
netstat -rn -f inet | head -20
ifconfig | grep -A 3 '^utun'
scutil --dns | head -30

• utun interfész jelen van, rajta keresztül alapértelmezett vagy osztott útvonal megy, a feloldó a szolgáltatóra mutat: az alagút még áll, és a címke elavult.
• nincs utun, közönséges alapértelmezett útvonal, DNS DHCP-ből, nincs internet: a leválasztáskor blokkoló házirend végzi a dolgát.
• nincs utun, nincs útvonal, a feloldó még a szolgáltatóra mutat: a bontás félúton megállt, és a DNS a tisztítandó maradék.

Ezután küldjön egy kérést egy belső gazdagépnek, amelynek csak az alagúton át szabad válaszolnia, és egyet egy nyilvános gazdagépnek. Az elérhetőség elválasztja a házirendet a maradék állapottól anélkül, hogy az ellenőrzést mérési gyakorlattá tenné. Ha az útvonal még válaszol, előbb mentse a távoli munkát, és gondoskodjon egy második belépési útról, mielőtt megváltoztatja a hálózatot egy távolról felügyelt gépen.

Miért vezet félre a széles körű ölés és a profil törlése

Az olyan folyamatnevek, mint a pppd, a racoon és a configd, bizonyos implementációkhoz tartoznak. Megölésük más kapcsolatokat érinthet, útvonalakat és utun interfészeket hagy maga után, és nem ad feljegyzést arról, hogy melyik lépés akadt el benne. Egy régi folyamatnév sem bizonyítja, hogy az aktuális profilt birtokolja.

A profil törlése és újralétrehozása nagyobb változás, mint egy elakadt átmenet tisztítása. Eldobhat kezelt beállításokat és helyi identitásanyagot anélkül, hogy megmagyarázná, mi hibázott, és egy felügyelt Macen egyszerűen visszaállhat. Tartsa a törlést egy valóban elavult konfigurációnak, és inkább diagnosztizálja az átmenetet.

Nyomot hagyó leállítási sorrend

Az alábbi sorrend a kapcsolat saját vezérlőit hagyja felelősnek, és feljegyzést készít, ha az elakadás visszatér. Azt is megakadályozza, hogy egy megjelenítési problémát hálózati változtatássá alakítson.

1. Mentse a távoli munkát, és erősítse meg, hogy más módon is eléri a Macet, ha az távoli.
2. Jegyezze fel a kliens nevét, verzióját és a profilt. Rögzítsen egy rövid ablakot a log show --last 5m --predicate 'subsystem == "com.apple.networkextension"' paranccsal; a régebbi kiadások kevesebb előzményt tartanak, ezért futtassa közvetlenül az elakadás után.
3. Használja a dokumentált »Leválasztás« vezérlőt, várjon, majd ismételje meg az interfész- és útvonal-ellenőrzéseket.
4. Ha a címke elavult, de az alagút lent van, hagyja, és engedje a klienst frissülni, ahelyett hogy folyamatokat kényszerítene.
5. Ha a bontás valóban elakadt, indítsa újra a klienst, majd tervezze meg a Mac újraindítását, amint a munka mentve van. A kezelt gépekhez a rendszergazda eljárása kell.

Helyreállítás után erősítse meg, hogy a szokásos alapértelmezett útvonal és a DHCP-feloldó visszatért, és hogy a blokkolt forgalom vagy helyreállt, vagy szándékosan még mindig blokkolt. Jegyezze fel a profilt és a kliensverziót a tünettel együtt, hogy a következő eset bizonyítékból induljon ki, ne a menüsor találgatásából.