Mi változik valójában, amikor mentett VPN-konfigurációt vált macOS-en
A mentett Mac VPN váltása nem profilcsere. Nézze meg, mi változik az útvonalakban, a DNS-ben és a hitelesítő adatokban, és hogyan ellenőrizze a ténylegesen kapott alagutat.
Megnyitja a VPN-listát, kiválasztja a másik mentett bejegyzést, és tiszta váltásra számít: új kilépési címre, minden más változatlanul. Ezt a feltevést érdemes először elengedni. A macOS-en a mentett VPN teljes hálózati szolgáltatás, nem előbeállítás, ezért a szolgáltatások váltása egyszerre változtathatja meg az útválasztást, a DNS-t és a hitelesítést. A menüsor mutatja, melyik szolgáltatás aktív; nem mondja meg, hogy az alatta lévő alagút megfelel-e a szándékának.
A mentett lista nem profilválasztó
A Rendszerbeállítások > Hálózat minden bejegyzése külön szolgáltatás, saját kiszolgálócímmel, fiókkal, hitelesítési módszerrel, DNS-kiszolgálókkal és olyan beállításokkal, mint az Összes forgalom küldése VPN-kapcsolaton. A régebbi verziók ugyanezt a listát tartják a Rendszerbeállításokban. Két bejegyzés ugyanarra a hosztnévre mutathat, és mégis eltérően viselkedhet, mert a protokoll vagy az ügyfélbővítmény dönti el, hogyan épül fel az alagút.
A harmadik féltől származó kliensek külön listákat tartanak. A Tunnelblick a saját mappájából olvassa a konfigurációkat, a WireGuard a saját alagútlistáját tartja, az OpenVPN Connect pedig az alkalmazáson belül tárolja a profilokat. Egyesek regisztrálják a konfigurációt a rendszerben; mások mindent az alkalmazásban tartanak, és soha nem jelennek meg a beépített listán. Ezért a „váltás a mentettre” alkalmazásonként eltérő műveleteket jelent, attól függően, melyik alkalmazás birtokolja a profilt.
scutil --nc list kiírja a rendszerkonfigurációban regisztrált VPN-szolgáltatásokat, idézőjelbe tett névvel. Pontosan ezeket a neveket használja, amikor szkriptből vált, és ne feltételezze, hogy a lista minden harmadik féltől származó alagutat lefed.
Mit változtat valójában a váltás
Négy dolog mozog együtt, amikor az aktív szolgáltatás megváltozik. Az alapértelmezett útvonal az új alagutat követi, ha az a szolgáltatás minden forgalmat küld; a feloldólista a szolgáltatás által megadott DNS-kiszolgálókra vált; az új kapcsolatok forrásként az új alagút címét veszik fel; és a használt hitelesítő adatok az új szolgáltatáshoz tartoznak. A natív konfiguráció és az alkalmazásprofil nem cserélhető fel, még akkor sem, ha mindkettő ugyanazon az átjárón végződik.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
A DNS rész szokta megzavarni az embereket. A macOS feloldósorrendet tart fenn, és scutil --dns megmutatja, mely feloldók vannak használatban és melyik interfészen. Egy beállított DNS-kiszolgáló nélküli VPN-szolgáltatás hagyhatja, hogy a Wi-Fi feloldó válaszoljon, így új nyilvános címet kap a régi DNS-viselkedéssel, és arra jut, hogy a váltás félig működött.
Miért jön vissza a régi konfiguráció
Ha bontja a kapcsolatot, és ugyanaz a szolgáltatás egy pillanattal később újracsatlakozik, először az On Demand beállítást nézze meg. A keresésre létrejövő kapcsolat szabálya visszahozhat egy szolgáltatást, amikor egy alkalmazás felold egy megfelelő tartományt, és egy kezelési profil ugyanezt a szabályt kényszerítheti. A bejegyzés törlése ritkán javítja: a profillal telepített konfiguráció általában a következő profilfrissítéskor visszatér, a kézi pedig a jelszavát a Keychainben hagyhatja, miközben a szolgáltatás eltűnt.
Egy második szolgáltatás indítása nem mindig állítja le az elsőt. Az ügyféltől és a protokolltól függően két alagúttal és két útvonalkészlettel végződhet, és a szolgáltatások sorrendje meg az útvonal specificitása dönti el, melyik viszi a forgalmat, nem az utoljára kattintott ikon. Ellenőrizze az interfészeket, mielőtt feltételezi, hogy megtörtént a váltás.
Az alagutat ellenőrizze, ne a pipát
Járja végig a rendszer saját nézetét, mielőtt a beállításokhoz nyúl.scutil --nc status "Name" jelenti, mit hisz a rendszer;ifconfig megmutatja, van-e címe az utun interfésznek;netstat -rn -f inet megmutatja, hová mutat az alapértelmezett útvonal;scutil --dns megmutatja a ténylegesen használt feloldót. Ezután nyisson friss kapcsolatot, és erősítse meg a kilépési címet, mert egy már bejelentkezett oldal még mindig a régi alagúthoz kötött socketet használhatja.
Ha a DNS még a helyi hálózatból válaszol, hasonlítsa össze a szolgáltatás beállított kiszolgálóit a feloldólistával. Ha az alapértelmezett útvonal még a fizikai interfészre mutat, a szolgáltatás osztott alagútú, vagy nincs teljesen csatlakozva. Mindkettő konfigurációs eredmény, nem a hibás ügyfél bizonyítéka.
Váltási sorrend meglepetések nélkül
- Jegyezze fel az aktuális szolgáltatást, és hogy kezeli-e profil.
- Először bontsa a kapcsolatot, ha a két alagút nem létezhet egymás mellett.
- Csatlakoztassa a célt, és várjon a Csatlakoztatva állapotra, ne a Csatlakozásra.
- Ellenőrizze az alapértelmezett útvonalat, a feloldólistát és egy friss kilépési címet.
- Indítsa újra azokat az alkalmazásokat, amelyek hosszú munkameneteket tartanak.
Tartsa meg a régi bejegyzést, amíg az új átmegy ezeken az ellenőrzéseken, és adjon minden bejegyzésnek külön nevet; az azonos címkék megnehezítik a következő hiba okának tulajdonítását. Az Apple Mac-súgója a natív oldalt itt írja le:VPN-kapcsolat beállítása Macen, ezt érdemes megnézni egy kezelt konfiguráció szerkesztése előtt.
Ha a kiválasztás visszaugrik, először szabályként vagy On Demandként kezelje. Erősítse meg, kié a konfiguráció, és hogy automatikus csatlakozásra van-e állítva, majd döntse el, szolgáltatást vált-e vagy profillal harcol.