Gespaarten Mac VPN vum Terminal mat scutil --nc starten

Dir hutt e gespaarte VPN-Service an den Systemastellungen, an dir wëllt datt den Terminal en start. Op macOS ass den ënnerstëtzten Wee scutil --nc, awer nëmme fir Servicer déi dem System sengem eegene Netzwierkverbindungsmanager gehéieren. D’Menüleesch ass net d’API: Drëttparteie-Cliënten hunn normalerweis hir eege Automatiséierung, an e Profil deen e Management-Service dréckt kann e lokale Start refuséieren. Dëst ass d’Checklëscht déi ech duerchginn: fannt de geneeë Service, liest säi Status, start him, waart bis de Status sech ännert, a bewisen dann datt de Verkéier wierklech den Tunnel benotzt. Stoppt beim éischte Schrëtt deen net passt, well all weider Kommando unhëlt datt dee virun deem gelungen ass.

Fannt de Service ier dir versicht en ze starten

Fänkt mat der Inventur un, net mam Profilnumm un deen dir Iech erënnert:

scutil --nc help
scutil --nc list

All Zeil paart e Status mat enger Service-ID, engem Typ an engem Uweisungsnumm. D’ID ass de Wäert fir Skripten, well Uweisungsnimm sech widderhuelen a kënne geännert ginn. Apple seng scutil-Handbuch dokumentéiert den Netzwierkverbindungsmodus, wärend déi installéiert --nc help déi autoritativ Lëscht vun Ënnerkommandos op deem Mac ass; unhëlt net datt e Fändel aus engem eelere Guide nach an Ärer macOS-Versioun existéiert.

Eng eidel Lëscht ass en Resultat, keen Feeler. E Service deen e Verkeefer-Client oder e Management-Profil erstallt huet kann aktiv sinn wärend en hei onsichtbar ass, oder sichtbar mat engem Typ deen dee native Controller net fuere kann. An deem Fall benotzt dem Verkeefer säin Tool oder d’Profil-Dokumentatioun. En parallele native Profil ze erstellen just fir eppes ze starten ze hunn ass en schlechte Geschäft.

Liest den aktuelle Status a bestätegt de Selekter

Frot de Service no sengem Status ier dir en start, fir ze wëssen wat e gelungenen Start soll änneren:

scutil --nc status "Office VPN"

Wann zwee Servicer en Uweisungsnumm deelen, ass den Numm zweedeiteg. Gitt amplaz d’ID; d’Kommando akzeptéiert béides, awer nëmmen d’ID garantéiert ee Service auszewielen. Kontrolléiert datt d’Statuswuert ee vun deene ass déi dir kennt — meeschtens Connected, Disconnected, Connecting oder Disconnecting — ier dir et an engem Skript parst. Kontrolléiert och ob de Profil geréiert gëtt, well eng gespaarte Konfiguratioun d’Kommando akzeptéiere kann an se trotzdem ignoréiert oder eng Bestätegung freet.

Dëse Statusopruff ass bëlleg, benotzt en also als Wiechter an der Automatiséierung: start nëmmen wann de Status Disconnected ass, an behandelt Connecting net als Feeler. Wann de Service schonn Connected ass, iwwerspréngt de Start amplaz en funktionéierenden Tunnel z’ënnerbriechen.

Start d’Verbindung a waart bis de Status sech berouegt

D’Startufro ass asynchron. D’Kommando kënnt zréck wann d’Ufro akzeptéiert gouf, net wann d’Authentifikatioun fäerdeg ass oder d’Routen installéiert sinn. Fëllt se aus, frot dann de Status mat enger begrenzter Waardezäit a briechen of wann de Service op Disconnected zréckfällt:

scutil --nc start "Office VPN"
n=0
while [ "$n" -lt 30 ]; do
  state=$(scutil --nc status "Office VPN" | head -n 1)
  [ "$state" = "Connected" ] && break
  [ "$state" = "Disconnected" ] && { echo "start failed"; exit 1; }
  sleep 2
  n=$((n + 1))
done

E Connecting-Status deen ni sech opléischt weist meeschtens op Umeldungsdaten, MFA oder de Server, net op scutil. D’Kommando kann keen interaktiven Umeldung liwweren, also bleift e Profil deen en Token oder en Hardware-Schlëssel erwaart an Connecting a fällt schlussendlech zréck. Liest d’Statuswuert ier dir Widderhuelungen derbäi setzt; eng Schleif géint eng Authentifikatiounsufro kann net geléngen.

Behandelt de Shell säin Ausgangsstatus net als Bereetschaft. Dat nëtzlech Signal ass de Statusstring, gefolgt vum Beweis datt den Tunnel Verkéier dréit. Eng Startkommando déi roueg zréckkënnt kann Iech nach ëmmer mat enger Verbindung loossen déi ni authentifizéiert.

Beweist datt den Tunnel Verkéier dréit, net just datt en Connected seet

Connected beschreift d’Verbindung, net d’Routing-Entscheedung. Nativ PPP- an IKEv2-Servicer erstellen eng ppp- oder utun-Schnittstell an installéieren Routen, wärend en opgedeilten Tunnel de Standardroute bewosst onberéiert léisst. Kuckt d’Schnittstelle béid Adressfamilljen un:

ifconfig -l
netstat -rn -f inet
netstat -rn -f inet6
scutil --dns

Fannt d’Schnittstell déi de Service erstallt huet amplaz eng Nummer ze roden, frot dann d’Routingtabell wéi eng Schnittstell eng bestëmmt Destinatioun benotzt: route -n get 10.0.0.10, mat engem internen Host dofir. Wann se déi physesch Schnittstell mellt, ass den Tunnel uewen awer dréit deen Flow net. Kontrolléiert opgedeelte Tunnelrouten, d’Uerdnung vun den Opléiser a jiddwer lokal Firewall-Reeg déi d’Tunnelschnittstell erlaabt awer net de Prozess.

Nummopléisung ass de gewéinlechen falschen Negativ. Intern Nimm kënnen iwwer den falschen Opléiser opgeléist ginn wärend den Tunnel komplett gesond ass, wat wéi e VPN-Fehler ausgesäit an kee ass. scutil --dns weist d’Uerdnung déi macOS benotze wäert; no enger Opléiserännerung läscht de Cache mat dscacheutil -flushcache an sudo killall -HUP mDNSResponder.

Haalt Umeldungsdaten a Privilegien aus der Kommandoslinn

Setzt ni e Passwuert, en virdru gedeelte Schlëssel oder en Token an d’Argumenter. Argumenter si sichtbar an de Prozesslëschten an landen an der Shell-Historie, an eng kopéiert Support-Transkriptioun kann se lecken. Dem Profil seng eege Umeldungsdatenbehandlung — sief et en Keychain-Element, eng Systemufro oder de Client seng Authentifikatiounsfloss — ass de Platz fir Geheimnisser.

D’Kommando mat sudo lafe léisst eng interaktiv Umeldung net onbewaacht. Et ännert den effektive Benotzer, net d’Verfügbarkeet vun enger GUI-Ufro, engem Hardware-Token oder dem Login-Keychain. En LaunchAgent kann e Service starten nodeems de Benotzer sech ageloggt huet an de Keychain opgeschloss ass; en LaunchDaemon erreecht normalerweis déi Deeler vun der Benotzersitzung net. Wann eng Organisatioun de Service geréiert, gewannen hir Liewenszyklusregele géint jiddwer lokalt Skript.

Stoppt de Service a kontrolléiert datt en gestoppt bliwwen ass

Stoppt mam selwechte Selekter deen dir fir de Start benotzt hutt, liest dann de Status nach eng Kéier amplaz unzehuelen datt den Tunnel fort ass:

scutil --nc stop "Office VPN"
scutil --nc status "Office VPN"

En Stopp deen op Disconnected zréckkënnt léisst nach eng Saach ze kontrolléieren: ob de Profil op Verbinden op Ufro agestallt ass, wat en och ouni Äert Skript zréckbréngt. Wann en anere Client Routen op deem selwechte Mac huet, kënnen déi Routen en nativen Stopp iwwerliewe. Kontrolléiert d’Route nach eng Kéier ier dir schléisst datt d’Maschinn ausserhalb vum VPN ass.

Fir en Ëmhangs deen dir vun Hand ausféiert, haalt d’Uerdnung fest: Lëscht, Status, Start, Opruff, Routentest, Stopp, Kontroll. Parst den frëndlechen Numm net aus fräiem Output wann d’ID verfügbar ass, an behandelt den Ausgang vun der Startkommando net als Bereetschaft. De Verbindungsmanager mellt de Status; Ären Beweis ass de Status plus eng Route déi op den Tunnel weist.