Сакталган Mac VPNди терминалдан scutil --nc аркылуу иштетүү

Сизде Системалык параметрлерде сакталган VPN кызматы бар жана терминал аны иштетүүсүн каалайсыз. macOS’то колдоого алынган жол — scutil --nc, бирок системанын өзүнүн тармактык байланыш менеджерине таандык кызматтар үчүн гана. Меню тилкеси API эмес: үчүнчү тарап клиенттеринин адатта өзүнүн автоматташтыруусу болот, ал эми башкаруу кызматы жөнөткөн профиль жергиликтүү иштетүүдөн баш тартышы мүмкүн. Бул менин аткара турган текшерүү тизмеси: так кызматты табыңыз, анын абалын окуңуз, аны иштетиңиз, абал өзгөрүшүн күтүңүз, анан трафиктин чындап туннелди колдонушун далилдеңиз. Биринчи дал келбеген кадамда токтоңуз, анткени ар бир кийинки буйрук мурункусу ийгиликтүү болду деп болжайт.

Иштетүүгө аракет кылуудан мурун кызматты табыңыз

Эсиңиздеги профиль атынан эмес, тизмеден баштаңыз:

scutil --nc help
scutil --nc list

Ар бир сап абалды кызмат идентификатору, түрү жана көрсөтүлүүчү аты менен жуптайт. Идентификатор — скрипт жазыла турган маани, анткени көрсөтүлүүчү аттар кайталанат жана өзгөртүлүшү мүмкүн. Apple’дын scutil колдонмосу тармактык туташуу режимин документтейт, ал эми орнотулган --nc help ошол Mac’теги ички буйруктардын ыйгарым укуктуу тизмеси; эски колдонмодогу желек macOS версияңызда дагы бар деп ойлобоңуз.

Бош тизме — натыйжа, ката эмес. Жеткирүүчүнүн клиенти же башкаруу профили түзгөн кызмат бул жерде көрүнбөй туруп активдүү болушу мүмкүн, же жергиликтүү контроллер башкара албаган түр менен көрүнүшү мүмкүн. Мындай учурда жеткирүүчүнүн куралын же профилдин документтерин колдонуңуз. Иштетүү үчүн бир нерсе болушу үчүн гана параллель жергиликтүү профиль түзүү жаман бүтүм.

Учурдагы абалды окуп, селекторду ырастаңыз

Иштетүүдөн мурун кызматтан абалын сураңыз, ийгиликтүү иштетүү эмнени өзгөртүшү керектигин билүү үчүн:

scutil --nc status "Office VPN"

Эгер эки кызмат бир көрсөтүлүүчү атты бөлүшсө, ат эки маанилүү. Анын ордуна идентификаторду бериңиз; буйрук экөөнү тең кабыл алат, бирок бир кызматты тандоого бир гана идентификатор кепилдик берет. Скриптте талдоодон мурун абал сөзү тааныш экенин текшериңиз — адатта Connected, Disconnected, Connecting же Disconnecting. Ошондой эле профиль башкарылабы же жокпу текшериңиз, анткени кулпуланган конфигурация буйрукту кабыл алып, аны этибарга албашы же ырастоо сурашы мүмкүн.

Бул абал чакыруусу арзан, андыктан аны автоматташтырууда күзөтчү катары колдонуңуз: абал Disconnected болгондо гана иштетиңиз жана Connecting’ди ийгиликсиздик деп эсептебеңиз. Эгер кызмат мурунтан Connected болсо, иштеп жаткан туннелди үзүүнүн ордуна иштетүүнү өткөрүп жибериңиз.

Байланышты иштетип, абалдын турукташуусун күтүңүз

Иштетүү өтүнүчү асинхрондуу. Буйрук өтүнүч кабыл алынганда кайтат, аутентификация бүткөндө же маршруттар орнотулганда эмес. Аны иштетиңиз, анан чектелген күтүү менен абалды сурап, кызмат Disconnected’го кайтса чыгыңыз:

scutil --nc start "Office VPN"
n=0
while [ "$n" -lt 30 ]; do
  state=$(scutil --nc status "Office VPN" | head -n 1)
  [ "$state" = "Connected" ] && break
  [ "$state" = "Disconnected" ] && { echo "start failed"; exit 1; }
  sleep 2
  n=$((n + 1))
done

Эч качан чечилбеген Connecting абалы адатта каттоо маалыматтарына, MFA’га же серверге көрсөтөт, scutil’ге эмес. Буйрук интерактивдүү кирүүнү бере албайт, ошондуктан токен же аппараттык ачкыч күткөн профиль Connecting’де калып, акыры артка чегинет. Кайталоолорду кошуудан мурун абал сөзүн окуңуз; аутентификация суроосуна каршы цикл ийгиликтүү боло албайт.

Кабыктын чыгуу абалын даярдык деп эсептебеңиз. Пайдалуу сигнал — абал сабы, андан кийин туннелдин трафик ташып жаткандыгы тууралуу далил. Тынч кайткан иштетүү буйругу сизди эч качан аутентификацияланбаган байланыш менен калтырышы мүмкүн.

Туннел трафик ташып жатканын далилдеңиз, жөн гана Connected дегенин эмес

Connected байланышты сүрөттөйт, маршруттоо чечимин эмес. Жергиликтүү PPP жана IKEv2 кызматтары ppp же utun интерфейсин түзүп, маршруттарды орнотот, ал эми бөлүнгөн туннел демейки маршрутту атайын тийбей калтырат. Интерфейстерди жана эки дарек үй-бүлөсүн текшериңиз:

ifconfig -l
netstat -rn -f inet
netstat -rn -f inet6
scutil --dns

Номерди болжолдоонун ордуна кызмат түзгөн интерфейсти табыңыз, анан маршруттоо таблицасынан белгилүү бир бараан кайсы интерфейсти колдонорун сураңыз: route -n get 10.0.0.10, анын ордуна ички хост коюп. Эгер ал физикалык интерфейсти билдирсе, туннел күйүп турат, бирок ал агымды ташыбайт. Бөлүнгөн туннелдин маршруттарын, чечүүчүнүн тартибин жана туннел интерфейсине уруксат берип, процесске бербеген жергиликтүү firewall эрежесин текшериңиз.

Аттарды чечүү — адаттагы жалган терс натыйжа. Ички аттар туннел толук соо болгондо туура эмес чечүүчү аркылуу чечилиши мүмкүн, бул VPN бузулушуна окшош көрүнөт, бирок андай эмес. scutil --dns macOS колдоно турган тартипти көрсөтөт; чечүүчү өзгөргөндөн кийин кэшти dscacheutil -flushcache жана sudo killall -HUP mDNSResponder аркылуу тазалаңыз.

Каттоо маалыматтарын жана артыкчылыктарды буйрук сабынан тыш кармаңыз

Сырсөздү, алдын ала бөлүшүлгөн ачкычты же токенди аргументтерге эч качан салбаңыз. Аргументтер процесс тизмелеринде көрүнөт жана кабык тарыхына түшөт, ал эми көчүрүлгөн колдоо жазуусу аларды агызышы мүмкүн. Профилдин өзүнүн каттоо маалыматтарын иштетүүсү — Keychain элементи, системанын суроосу же клиенттин аутентификация агымы — сырлардын орду.

Буйрукту sudo менен иштетүү интерактивдүү кирүүнү көзөмөлсүз кылбайт. Ал натыйжалуу колдонуучуну өзгөртөт, GUI суроосунун, аппараттык токендин же кирүү Keychain’инин жеткиликтүүлүгүн эмес. LaunchAgent колдонуучу киргенден жана Keychain ачылгандан кийин кызматты иштете алат; LaunchDaemon адатта колдонуучу сессиясынын ошол бөлүктөрүнө жете албайт. Эгер уюм кызматты башкарса, анын жашоо цикл эрежелери ар кандай жергиликтүү скрипттен жогору турат.

Кызматты токтотуп, анын токтогон бойдон калганын текшериңиз

Иштетүү үчүн колдонгон ошол эле селектор менен токтотуңуз, анан туннел жоголду деп ойлоонун ордуна абалды кайра окуңуз:

scutil --nc stop "Office VPN"
scutil --nc status "Office VPN"

Disconnected’го кайткан токтотуу дагы бир нерсени текшерүүгө калтырат: профиль суроо боюнча туташууга коюлганбы, бул аны скриптиңизсиз кайра алып келиши мүмкүн. Эгер ошол эле Mac’те башка клиенттин маршруттары болсо, алар жергиликтүү токтотуудан аман калышы мүмкүн. Машина VPN’ден тышкары деп жыйынтыктоодон мурун маршрутту кайра текшериңиз.

Кол менен иштетилүүчү каптоо үчүн тартипти бекем кармаңыз: тизме, абал, иштетүү, суроо, маршрут сыноосу, токтотуу, текшерүү. Идентификатор жеткиликтүү болгондо эркин форматтагы чыгарылыштан достук атты талдабаңыз жана иштетүү буйругунун чыгышын даярдык деп эсептебеңиз. Байланыш менеджери абалды билдирет; сиздин далилиңиз — абал жана туннелге көрсөткөн маршрут.