Il tuo Mac riconnette la VPN da solo: controlla la regola su richiesta

Disconnetti la VPN e, trenta secondi dopo, l’icona nella barra dei menu è di nuovo lì. Niente di strano: le regole su richiesta di macOS avviano una connessione quando la rete cambia o quando qualcosa chiede un nome che la regola copre, e la regola può vivere in un profilo che non hai mai scritto. Percorrere i controlli qui sotto in ordine è più veloce che reinstallare il client. La regola è una politica, quindi leggi la politica prima di combatterla.

Che cosa sorveglia davvero la regola

La regola su richiesta ha due punti di decisione: la rete a cui è collegato il Mac, e un dominio che qualcosa sta cercando di risolvere. Uno o l’altro può alzare il tunnel, ed è per questo che la ricerca di un nome interno avvia una VPN che nessuno ha aperto. La distribuzione ha bisogno anche di un’autenticazione che funzioni senza una persona presente, ed è per questo che gli schemi basati su certificati dominano i parchi gestiti.

Accanto alla politica di sistema può esistere un’opzione di riconnessione per applicazione, quindi la prima domanda è quale meccanismo ha riconnesso il tunnel. Controlla prima la politica di sistema, poi il client e solo alla fine chi ha fatto clic su Disconnetti. La maggior parte delle preferenze del client che sembrano responsabili non lo è. Quest’ordine conta perché la politica di sistema vince per impostazione predefinita, e un’impostazione a livello di client può spiegare solo i casi che la politica non copre.

Di chi è la politica e quanto costa rimuoverla

Leggi il profilo installato e i controlli client supportati prima di modificare l’uno o l’altro. Se il Mac è gestito, le condizioni sono documentate da qualche parte, e chiedere quel documento è meglio che fare reverse engineering di SSID e domini dall’esterno.

Il materiale di fiducia sul Mac è condiviso con ogni altro servizio che lo usa, quindi la revoca è l’ultimo passo e non il primo. Rimuovi il profilo che possiede la regola, poi conferma che la regola smette di attivarsi prima di toccare un certificato. Un profilo rimosso a metà è esattamente il motivo per cui le persone concludono che il comportamento è casuale. I due comandi che mostrano che cosa è installato vale la pena tenerli:

profiles show -type configuration
scutil --nc list

Che cosa non dimostra la riconnessione

La riconnessione su richiesta non dice nulla sul vuoto: mentre il tunnel sale, il traffico può ancora uscire dall’interfaccia fisica, a meno che una politica separata non lo trattenga. Bloccare prima che il tunnel esista è un’impostazione diversa dall’avviare il tunnel. Una macchina che si riconnette in fretta può comunque perdere dati nei primi secondi.

L’ambito delle rotte è una terza domanda, perché una regola che avvia il tunnel non dice nulla sui prefissi che trasporta. Conferma che cosa instrada la connessione invece di dare per scontato che una riconnessione significhi copertura completa. Provalo di proposito: chiudi il client, conferma che il servizio è fermo, poi richiedi la risorsa che la regola dovrebbe proteggere.

Registra l’innesco, non l’icona

Annota che cosa ha alzato il tunnel: unirsi a una rete, aprire un’app, risolvere un nome privato, svegliarsi dal sonno. Nota quando accade invece che solo che è accaduto, perché la sequenza è la prova. Un innesco specifico vale più di uno screenshot dell’icona.

Poi verifica la risorsa dopo che la connessione è salita. La barra dei menu dimostra che un servizio è in esecuzione, non che la destinazione che ti serve sia raggiungibile attraverso di esso. Le due cose possono divergere per motivi del tutto ordinari, compresa una rotta che punta altrove.

Quando la regola avvia la connessione sbagliata

Una connessione che parte quando non dovrebbe di solito viene da un profilo obsoleto, da una condizione di dominio più ampia del previsto o da due configurazioni che si contendono la stessa rete. Tutte e tre sono visibili nella configurazione installata, e nessuna diventa più chiara attivando e disattivando il servizio.

Porta l’innesco, il proprietario del profilo e il comportamento previsto a chi gestisce la politica. La documentazione di Apple sulla modalità su richiesta è il vocabolario condiviso per quella conversazione, ed è più breve della discussione. Chiedi un cambio di politica invece di una rimozione, e entrambe le parti mantengono una configurazione funzionante.