Mac-VPN a PAC-Proxy: zwou Entscheidungen, net eng eenzeg Astellung

Ären Mac luet e Politiks-Skript erof an freet dann dëst Skript, wéi en Tëschemann eng Ufro soll benotzen, während den Tunnel just entscheet, wéi de gewielten Hopp erreecht gëtt. Béid Äntwerten landen op der selwechter Socket, sou datt eng Ufro, déi feelt nodeems béid gelungen sinn, wéi ee Feeler ausgesäit wa et zwee sinn. D'Download vun der Auswiel ze trennen, an d'Auswiel vun der Route, ass de gréissten Deel vun der Aarbecht an dësen Ticketten. D'Reiefolleg hei drënner follegt wat macOS tatsächlech mécht, mat de Kontrollen déi all Etapp sichtbar maachen.

Wou d'PAC-Adress an de Proxy auserneeginn

Eng Adress wéi https://config.corp.example/proxy.pac nennt en Dokument fir erofzelueden, an dëst Dokument nennt e Server duerch deen den Trafik geet. D'URL an en Proxy-Hostfeld ze pechen freet de Client eng Proxyverbindung zu engem Fichierserver opzemaachen, deen ni op sou eng lauschtert. An der Datei ass eng Funktioun, déi de Client pro Ufro oprufft, an hir Réckgabewäert ass den nächsten Hopp fir déi eenzeg Destinatioun. Dës Indirektioun erkläert firwat zwou Maschinnen um selwechte Netzwierksservice sech anescht kënne behuelen, obwuel béid déi richteg URL hunn. Et erkläert och firwat eng Politikännerung gëllt, ouni datt een de Proxy selwer beréiert.

Liest d'Skript ier Dir eppes flossof interpretéiert, well d'Regele dran d'Ausnamen vun der Organisatioun an d'Reiefolleg vun hirer Uwendung droen. En fréie breeden Beräich kann en spéideren internen Suffix iwwerschiedegen, an en Host dee sech kloer ëm de Proxy sollte dréinen benotzt en nach ëmmer. Wann een drop besteet datt d'Politik falsch ass, ass d'Skript deen eenzegen Ort wou dës Behauptung entscheet gëtt.

D'Skript muss geholl ginn ier et eppes entscheet

D'Politik erofzelueden brauch en opgeléisten Numm an eng Route zu deem wat d'Datei servéiert, an en verbonnene Tunnel garantéiert keng vun deenen zwee. Wann den Host just iwwer privat DNS opgeléist gëtt, entscheet de Resolver dee just elo benotzt gëtt ob den Download ka starten. Wann den Host an engem private Beräich läit, muss d'Route vun dëser Maschinn aus existéieren, net vum Kolleg sengem Laptop. Eng Kopie déi an enger fréierer Sessioun gecacht gouf verstoppt dat alles bis de Cache ofleeft oder d'Maschinn nei start.

Féiert déi dräi Kontrollen hei drënner an der Reiefolleg aus a stoppt beim éischte Feeler, well d'Etappe keng gemeinsam Ursaach hunn. Zesumme weisen se ob d'Politik konfiguréiert ass, ob se erreechbar ass a wat se zréckgëtt.

scutil --proxy
networksetup -getautoproxyurl "Wi-Fi"
curl -sS -o /dev/null -w "%{http_code}\n" https://config.corp.example/proxy.pac

Den éischte Kommando dréckt de Proxy-Wierderbuch fir den aktiven Service, inklusiv all Auto-Konfiguratiouns-URL déi de System hält. Den zweeten mellt d'URL déi un ee genannte Service gebonnen ass, wat op engem Laptop zielt dee tëscht Wi-Fi an Ethernet wiesselt. Den drëtten hëlt d'Datei ouni se ze renderen, sou datt en 404, eng Zäitiwwerschreidung an e Resolverfeeler ënnerscheedbar bleiwen. Wann dee leschte Kommando d'Skript zréckgëtt während Applikatiounen nach feelen, ass de Problem schonn iwwer den Ofruff eraus.

Wat eng DIRECT-Äntwert tatsächlech iwwerspréngt

D'PAC-Spezifikatioun gëtt dem Client e klengt Vokabular, an DIRECT ass ee Wuert dovun. D'Wuert seet dem Client de Proxy fir déi Ufro ze iwwersprangen an seet näischt doriwwer wéi eng Interface d'Socket duerno benotzt. Eng direkt Socket op engem vollen Tunnel geet nach ëmmer duerch d'VPN eraus an weist dem Zil nach ëmmer d'Ausgangsadress vum Tunnel.

DIRECT als ausserhalb vun der VPN ze liesen ass de Feeler deen d'Leit op de falsche Astellungs-Panel schéckt. D'Spigelbild ass just esou heefeg, well e private Proxy iwwer eng opgedeelt Route erreechbar ass während de Rescht vun der Maschinn ausserhalb vum Tunnel bleift. Wat d'Zil dann mellt gehéiert zum eegene Ausgang vum Proxy, dee kann an engem anere Land leien. D'Erwaardung fir een internen Host an een ëffentlechen Host opzeschreiwen deckt dat séier op, well d'Skript deenen zwee dacks anescht äntwert. Wann Dir wësst wéi en Hopp d'Adress produzéiert huet, ass de Bericht net méi mysteriéis.

Dräi Feeler déi als eng eenzeg Feelsäit optauchen

D'Politik kann am Download feelen, de gewielte Proxy kann onerreechbar sinn, an eng Ufro déi beim Service ukommt kann do nach ëmmer refuséiert ginn. All dräi kommen als Zäitiwwerschreidung oder generesch Feelsäit, an keng nennt d'Etapp déi gebrach ass. D'Entscheedung nieft dem Feeler ze erfaassen ass wat se trennt. Déi zwou Proben hei drënner testen den Hopp deen d'Skript gewielt huet, eng fir all Branche déi et kann zréckginn.

curl -v --max-time 8 http://proxy.corp.example:8080/
curl -v --max-time 8 https://intranet.corp.example/

Eng ofgeschloss Verbindung zum Proxy verréckelt d'Fro op d'Authentifikatioun oder op d'Politik vum Proxy selwer, déi en aneren Eegentemer huet. Eng ofgeschloss Verbindung zum internen Host ouni Proxy am Wee schléisst d'Route aus a weist op d'Politik. Béid Kommandoen ignoréieren de macOS Proxy-Wierderbuch ausser d'Shell exportéiert Proxyvariabelen, also läscht déi fir d'éischt. Keng vun den zwou Proben beweist déi aner, an dofir féiert eng Feelsäit sou laang an d'Ier.

Wat mat dem Ticket iwwergi gëtt

Schéckt den aktiven Netzwierksservice, d'PAC-URL, d'Resultat vun der Bewäertung fir den Host dee feelt, an d'Etapp wou de Feeler opgetrueden ass. Déi véier loossen déi nächst Persoun d'Entscheedung reproduzéieren amplaz ze roden wéi eng Schicht bedeelegt war. Füügt den Tunnelzoustand am Moment vum Test bäi, well en Resultat deen virun enger neier Verbindung erfaasst gouf veralt ass. Halt och d'Skriptrevisioun, well d'Politiksdatei ouni Ukënnegung ännert an d'Äntwert vun gëschter vläicht net méi aktuell ass.

Notéiert wéi de Client sech behält wann d'Skript net ka geholl ginn, well d'Implementatioune sech ënnerscheeden an d'Proxyentscheedung kee Kill-Switch fir dat ganzt Apparat ass. E puer falen op eng direkt Verbindung zréck an anerer feelen zou, an deen Ënnerscheed ännert ob en Ausfall wéi e gebrochene Proxy oder wéi eng funktionéierend Politik ausgesäit. Bestätegt d'Behuele fir de geneeë Client an d'Versioun ier Dir Iech drop verloosst während engem Tëschefall.