Che cosa cambia davvero quando cambi una configurazione VPN salvata su macOS
Cambiare una VPN Mac salvata non è uno scambio di profilo. Scopri cosa cambia in route, DNS e credenziali, e come verificare il tunnel che hai effettivamente ottenuto.
Apri l’elenco VPN, scegli l’altra voce salvata e ti aspetti un cambio pulito: un nuovo indirizzo di uscita e tutto il resto invariato. È questa l’ipotesi da abbandonare per prima. Su macOS una VPN salvata è un servizio di rete completo e non un preset, quindi cambiare servizio può modificare insieme routing, DNS e autenticazione. La barra dei menu dice quale servizio è attivo; non dice se il tunnel sottostante corrisponde a ciò che volevi.
L’elenco salvato non è un selettore di profili
Ogni voce in Impostazioni di Sistema > Rete è un servizio a sé, con il proprio indirizzo del server, il proprio account, il proprio metodo di autenticazione, i propri server DNS e opzioni come Invia tutto il traffico tramite la connessione VPN. Le versioni precedenti tengono lo stesso elenco in Preferenze di Sistema. Due voci possono puntare allo stesso nome host e comportarsi comunque diversamente, perché il protocollo o l’estensione del client decide come viene costruito il tunnel.
I client di terze parti tengono elenchi separati. Tunnelblick legge le configurazioni dalla propria cartella, WireGuard mantiene il proprio elenco di tunnel e OpenVPN Connect archivia i profili dentro l’app. Alcuni registrano una configurazione nel sistema; altri tengono tutto dentro l’app e non compaiono mai nell’elenco integrato. Quindi «passa a quella salvata» significa azioni diverse a seconda di quale app possiede il profilo.
scutil --nc list stampa i servizi VPN registrati nella configurazione di sistema, con i nomi tra virgolette. Usa esattamente quei nomi quando scrivi uno script di cambio, e non dare per scontato che l’elenco copra ogni tunnel di terze parti.
Che cosa cambia davvero un cambio
Quattro cose si muovono insieme quando cambia il servizio attivo. La route predefinita segue il nuovo tunnel se quel servizio invia tutto il traffico; l’elenco dei resolver passa ai server DNS che il servizio specifica; le nuove connessioni prendono l’indirizzo del nuovo tunnel come origine; e le credenziali in uso appartengono al nuovo servizio. Una configurazione nativa e un profilo di app non sono intercambiabili, anche quando entrambi terminano sul medesimo gateway.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
La parte DNS è quella che sorprende. macOS mantiene un ordine dei resolver, e scutil --dns mostra quali resolver sono in uso e su quale interfaccia. Un servizio VPN senza server DNS configurati può lasciare che risponda il resolver del Wi-Fi, così ottieni un nuovo indirizzo pubblico con il vecchio comportamento DNS e concludi che il cambio ha funzionato a metà.
Perché la vecchia configurazione torna
Se ti disconnetti e lo stesso servizio si riconnette poco dopo, guarda prima On Demand. Una regola di connessione su richiesta può riportare in vita un servizio quando un’app risolve un dominio corrispondente, e un profilo di gestione può imporre la stessa regola. Eliminare la voce raramente risolve: una configurazione installata da profilo di solito torna al successivo aggiornamento del profilo, e una manuale può lasciare la password nel portachiavi mentre il servizio non c’è più.
Avviare un secondo servizio non sempre ferma il primo. A seconda del client e del protocollo puoi ritrovarti con due tunnel e due insiemi di route, e sono l’ordine dei servizi e la specificità delle route a decidere quale porta il traffico, non l’icona su cui hai cliccato per ultima. Controlla le interfacce prima di dare per fatto un cambio.
Verifica il tunnel, non la spunta
Passa dalla vista del sistema stesso prima di toccare le impostazioni.scutil --nc status "Name" riferisce ciò che il sistema crede;ifconfig mostra se un’interfaccia utun ha un indirizzo;netstat -rn -f inet mostra dove punta la route predefinita;scutil --dns mostra il resolver realmente in uso. Poi apri una connessione nuova e conferma l’indirizzo di uscita, perché una pagina già connessa può ancora usare un socket legato al vecchio tunnel.
Se il DNS risponde ancora dalla rete locale, confronta i server configurati del servizio con l’elenco dei resolver. Se la route predefinita punta ancora all’interfaccia fisica, il servizio è in tunnel diviso o non è del tutto connesso. Entrambi sono risultati di configurazione, non prova di un client guasto.
Un ordine di cambio che evita sorprese
- Annota il servizio attuale e se un profilo lo gestisce.
- Disconnettilo prima quando i due tunnel non possono convivere.
- Connetti la destinazione e attendi Connesso, non Connessione.
- Controlla la route predefinita, l’elenco dei resolver e un nuovo indirizzo di uscita.
- Riavvia le app che mantengono sessioni lunghe.
Tieni la vecchia voce finché la nuova non supera questi controlli, e dai a ogni voce un nome distinto; etichette identiche rendono più difficile attribuire il prossimo guasto. L’aiuto del Mac di Apple descrive il lato nativo in Configurare una connessione VPN sul Mac, che è il riferimento da controllare prima di modificare una configurazione gestita.
Se la selezione torna indietro, trattala prima come criterio o On Demand. Conferma chi possiede la configurazione e se è impostata per connettersi automaticamente, poi decidi se stai cambiando un servizio o combattendo contro un profilo.