Urutan Layanan macOS tidak mengatur rute VPN Anda

Sesuatu di situs web gagal, seorang kolega ingat bahwa urutan layanan ada, dan Wi-Fi ditarik ke atas Ethernet. Tidak ada yang berubah, karena daftar itu tidak pernah menentukan ke mana tujuan VPN pergi. Apple memberi koneksi VPN prioritas di atas koneksi biasa dan menjaganya keluar dari penyusunan ulang itu, jadi sakelar tersebut menjawab pertanyaan yang lebih sempit daripada yang diajukan. Kegagalan itu memerlukan rute yang dipilih dan resolver, bukan peringkat baru.

Apa yang diubah urutan layanan, dan apa yang tidak pernah disentuhnya

Atur Urutan Layanan berada di Pengaturan Sistem, Jaringan, di menu Tindakan, dan ia memperingkat koneksi biasa saat dua atau lebih aktif. Peringkat itu memilih layanan utama, yang menyediakan rute default dan sebagian perilaku resolver. Ini adalah penentu seri di antara sederajat, bukan sakelar untuk tujuan privat di balik terowongan. Laptop dengan Wi-Fi dan adaptor Ethernet USB memakainya untuk menjawab pertanyaan yang masuk akal, dan pertanyaan itu bukan tentang terowongan.

Profil VPN membawa rute yang disertakan, tujuan yang dikecualikan, dan kadang aturan per aplikasi, dan itu yang menentukan apa yang masuk ke terowongan; menu pengurutan tidak mengeditnya. Itu sebabnya profil split-tunnel bisa membiarkan lalu lintas publik di luar sementara VPN masih mengungguli setiap antarmuka fisik. Menarik Wi-Fi ke atas tidak bisa membuat rentang privat dapat dijangkau, dan tidak bisa menghentikan tujuan yang sudah disertakan profil. Daftar memindahkan antarmuka; profil memindahkan prefiks. Apple mendokumentasikan prioritas itu di halaman urutan layanan jaringan, yang layak dibaca sekali sebelum Anda menata ulang apa pun.

Baca rute yang benar-benar dipilih mesin

Tanyakan ke mesin ke mana alamat tertentu pergi dengan route get 10.20.4.10, lalu ulangi untuk IPv6 dengan route -n get -inet6 2001:db8::10. Kedua keluarga adalah keputusan terpisah, jadi rute IPv4 yang berfungsi tidak mengatakan apa pun tentang v6, dan subnet yang terhubung langsung atau prefiks yang lebih spesifik tetap mengalahkan label koneksi umum, itulah sebabnya label itu terus menyesatkan orang.

Jika keluaran menyebut antarmuka terowongan, profil menangkap tujuan itu dan pengurutan tidak relevan. Jika menyebut antarmuka fisik, profil tidak melakukannya, dan berapa pun tarikan tidak akan mengubah tabel prefiks. Kedua keluaran juga menyebut alamat sumber yang akan dipakai mesin, dan itulah bidang yang perlu dikutip saat membandingkan dua eksekusi. Simpan keluaran sebelum mengubah apa pun, karena itu satu-satunya bukti yang Anda miliki sesudahnya.

DNS menyelesaikan berdasarkan nama, bukan antarmuka

Resolver berlingkup dan khusus domain berarti jawabannya bisa berbeda per nama, bukan per antarmuka. scutil --dns mencetak konfigurasi resolver yang benar-benar dipakai sistem, termasuk entri berlingkup. Urutan layanan memengaruhi layanan mana yang menyediakan resolver default, tetapi cakupan khusus nama bisa menang.

Itu sebabnya ping ke sebuah alamat bisa berhasil sementara nama host gagal, atau sebaliknya. Baca kedua keluaran sebelum memilih tersangka.

Ubah profil, lalu baca ulang kedua keluaran

Saat kebijakan tujuan perlu berubah, pemiliknya adalah profil VPN: rute yang disertakan, rute yang dikecualikan, dan aturan split-tunnel apa pun yang didukung vendor. Mengubah antarmuka justru hanya memindahkan perdebatan. Pada Mac yang dikelola dari jarak jauh, simpan dulu keadaan jaringan saat ini, karena kehilangan terowongan pada mesin yang tidak bisa Anda jangkau adalah perjalanan, bukan pembatalan.

Reproduksi kegagalan, baca rute, baca resolver, ubah satu hal, lalu baca lagi kedua keluaran yang sama. Mengacak beberapa layanan dan profil sekaligus meninggalkan mesin yang tidak bisa dijelaskan siapa pun, termasuk orang yang memperbaikinya. Uji selesai saat kedua keluaran setuju dengan perubahan yang Anda maksud. Jika keduanya masih tidak setuju, profil dan mesin menjelaskan dua kebijakan berbeda, dan profil itulah yang harus diubah.