Apa yang sebenarnya berubah saat Anda mengganti konfigurasi VPN tersimpan di macOS
Mengganti VPN Mac yang tersimpan bukan sekadar menukar profil. Lihat apa yang berubah pada rute, DNS, dan kredensial, serta cara memverifikasi terowongan yang benar-benar Anda dapatkan.
Anda membuka daftar VPN, memilih entri tersimpan yang lain, dan mengharapkan penggantian bersih: alamat keluar baru dan semua hal lain tidak berubah. Itulah asumsi yang harus pertama ditinggalkan. Di macOS, VPN tersimpan adalah layanan jaringan penuh, bukan prasetel, sehingga mengganti layanan dapat mengubah perutean, DNS, dan autentikasi sekaligus. Bilah menu menunjukkan layanan mana yang aktif; ia tidak memberi tahu apakah terowongan di bawahnya sesuai dengan yang Anda maksud.
Daftar tersimpan bukan pemilih profil
Setiap entri di Pengaturan Sistem > Jaringan adalah layanan tersendiri, dengan alamat server, akun, metode autentikasi, server DNS, dan opsi seperti Kirim semua lalu lintas melalui koneksi VPN. Rilis lama menyimpan daftar yang sama di Preferensi Sistem. Dua entri dapat menunjuk nama host yang sama dan tetap berperilaku berbeda, karena protokol atau ekstensi klien menentukan bagaimana terowongan dibangun.
Klien pihak ketiga menyimpan daftar terpisah. Tunnelblick membaca konfigurasi dari foldernya sendiri, WireGuard menyimpan daftar terowongannya, dan OpenVPN Connect menyimpan profil di dalam aplikasi. Sebagian mendaftarkan konfigurasi ke sistem; yang lain menyimpan semuanya di dalam aplikasi dan tidak pernah muncul di daftar bawaan. Jadi «beralih ke yang tersimpan» berarti tindakan berbeda tergantung aplikasi yang memiliki profil itu.
scutil --nc list mencetak layanan VPN yang terdaftar di konfigurasi sistem, dengan nama dalam tanda kutip. Gunakan nama persis itu saat Anda membuat skrip pergantian, dan jangan menganggap daftar mencakup setiap terowongan pihak ketiga.
Apa yang sebenarnya diubah oleh pergantian
Empat hal bergerak bersamaan saat layanan aktif berganti. Rute default mengikuti terowongan baru jika layanan itu mengirim semua lalu lintas; daftar resolver berubah ke server DNS yang ditentukan layanan; koneksi baru mengambil alamat terowongan baru sebagai sumbernya; dan kredensial yang dipakai milik layanan baru. Konfigurasi asli dan profil aplikasi tidak dapat dipertukarkan, meskipun keduanya berakhir di gateway yang sama.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
Bagian DNS itulah yang mengejutkan orang. macOS mempertahankan urutan resolver, dan scutil --dns menunjukkan resolver mana yang dipakai dan di antarmuka mana. Layanan VPN tanpa server DNS yang dikonfigurasi dapat membiarkan resolver Wi-Fi menjawab, sehingga Anda mendapat alamat publik baru dengan perilaku DNS lama dan menyimpulkan pergantian berhasil separuh.
Mengapa konfigurasi lama kembali
Jika Anda memutus dan layanan yang sama tersambung lagi sesaat kemudian, lihat On Demand lebih dahulu. Aturan sambung sesuai permintaan dapat mengembalikan layanan saat aplikasi menyelesaikan domain yang cocok, dan profil manajemen dapat memaksakan aturan yang sama. Menghapus entri jarang memperbaikinya: konfigurasi yang dipasang profil biasanya kembali pada penyegaran profil berikutnya, dan yang manual dapat meninggalkan kata sandinya di Keychain sementara layanannya sudah hilang.
Memulai layanan kedua tidak selalu menghentikan yang pertama. Bergantung pada klien dan protokol, Anda bisa berakhir dengan dua terowongan dan dua set rute, dan urutan layanan ditambah kekhususan rute yang menentukan mana yang membawa lalu lintas, bukan ikon yang terakhir Anda klik. Periksa antarmuka sebelum menganggap pergantian terjadi.
Verifikasi terowongannya, bukan tanda centangnya
Telusuri pandangan sistem sendiri sebelum menyentuh pengaturan.scutil --nc status "Name" melaporkan apa yang diyakini sistem;ifconfig menunjukkan apakah antarmuka utun memiliki alamat;netstat -rn -f inet menunjukkan ke mana rute default menunjuk;scutil --dns menunjukkan resolver yang benar-benar dipakai. Lalu buka koneksi baru dan konfirmasi alamat keluar, karena halaman yang sudah masuk mungkin masih memakai soket yang terikat ke terowongan lama.
Jika DNS masih menjawab dari jaringan lokal, bandingkan server yang dikonfigurasi pada layanan dengan daftar resolver. Jika rute default masih menunjuk antarmuka fisik, layanan itu terowongan terbelah atau belum sepenuhnya tersambung. Keduanya hasil konfigurasi, bukan bukti klien rusak.
Urutan pergantian yang menghindari kejutan
- Catat layanan saat ini dan apakah ada profil yang mengelolanya.
- Putuskan dulu bila kedua terowongan tidak dapat hidup berdampingan.
- Sambungkan target dan tunggu Tersambung, bukan Menyambungkan.
- Periksa rute default, daftar resolver, dan alamat keluar yang baru.
- Mulai ulang aplikasi yang menyimpan sesi berumur panjang.
Pertahankan entri lama sampai yang baru lolos pemeriksaan itu, dan beri setiap entri nama berbeda; label identik membuat kegagalan berikutnya lebih sulit diatribusikan. Bantuan Mac dari Apple menjelaskan sisi asli di Menyiapkan koneksi VPN di Mac, yang menjadi rujukan untuk diperiksa sebelum menyunting konfigurasi terkelola.
Jika pilihan kembali, tangani dulu sebagai kebijakan atau On Demand. Pastikan siapa yang memiliki konfigurasi dan apakah disetel untuk menyambung otomatis, lalu putuskan apakah Anda mengganti layanan atau melawan profil.