Jūsų Mac pats iš naujo prisijungia prie VPN: patikrinkite taisyklę pagal poreikį

Atjungiate VPN ir po trisdešimties sekundžių meniu juostos piktograma vėl vietoje. Niekas nevaidenasi: macOS taisyklės pagal poreikį pradeda ryšį, kai pasikeičia tinklas arba kai kažkas paprašo vardo, kurį taisyklė apima, ir taisyklė gali gyventi profilyje, kurio niekada nerašėte. Žemiau pateiktus patikrinimus atlikti iš eilės greičiau nei perinstaliuoti klientą. Taisyklė yra politika, todėl prieš kovodami su ja perskaitykite politiką.

Ką taisyklė iš tikrųjų stebi

Taisyklė pagal poreikį turi du sprendimo taškus: tinklą, prie kurio prijungtas Mac, ir domeną, kurį kažkas bando išspręsti. Bet kuris iš jų gali pakelti tunelį, todėl vidinio vardo paieška paleidžia VPN, kurio niekas neatidarė. Diegimui taip pat reikia autentifikavimo, kuris veikia be žmogaus, todėl valdomuose parkuose dominuoja sertifikatais pagrįsti sprendimai.

Šalia sistemos politikos gali būti atskira kiekvienos programos prisijungimo parinktis, todėl pirmas klausimas yra kuris mechanizmas vėl prijungė tunelį. Pirmiausia patikrinkite sistemos politiką, paskui klientą ir tik galiausiai tą, kuris paspaudė Atjungti. Dauguma kliento nuostatų, kurios atrodo atsakingos, tokios nėra. Ši tvarka svarbi, nes sistemos politika laimi pagal nutylėjimą, o kliento lygmens nustatymas gali paaiškinti tik tuos atvejus, kurių politika neapima.

Kam priklauso politika ir kiek kainuoja pašalinimas

Perskaitykite įdiegtą profilį ir palaikomus kliento valdiklius prieš keisdami bet kurį iš jų. Jei Mac valdomas, sąlygos kažkur dokumentuotos, ir paprašyti to dokumento geriau nei atvirkščiai inžineriškai išgauti SSID ir domenus iš išorės.

Mac pasitikėjimo medžiaga bendrinama su kiekviena kita ja besinaudojančia paslauga, todėl atšaukimas yra paskutinis žingsnis, o ne pirmas. Pašalinkite profilį, kuriam priklauso taisyklė, tada patvirtinkite, kad taisyklė nustoja suveikti, prieš liesdami sertifikatą. Pusiau pašalintas profilis yra būtent ta priežastis, kodėl žmonės daro išvadą, kad elgsena atsitiktinė. Dvi komandas, parodančias, kas įdiegta, verta pasilikti:

profiles show -type configuration
scutil --nc list

Ko neįrodo prisijungimas iš naujo

Prisijungimas pagal poreikį nieko nesako apie spragą: kol tunelis keliasi, srautas vis tiek gali išeiti per fizinę sąsają, jei jo nesulaiko atskira politika. Blokuoti prieš atsirandant tuneliui yra kitas nustatymas nei paleisti tunelį. Mašina, kuri greitai prisijungia iš naujo, pirmomis sekundėmis vis tiek gali nutekėti.

Maršrutų apimtis yra trečias klausimas, nes taisyklė, paleidžianti tunelį, nieko nesako apie jo nešamus prefiksus. Patvirtinkite, ką maršrutizuoja ryšys, o ne manykite, kad prisijungimas iš naujo reiškia visišką aprėptį. Išbandykite tyčia: uždarykite klientą, patvirtinkite, kad paslauga sustabdyta, tada paprašykite ištekliaus, kurį taisyklė turi saugoti.

Užrašykite suveikimo priežastį, o ne piktogramą

Užsirašykite, kas pakėlė tunelį: prisijungimas prie tinklo, programos atidarymas, privataus vardo išsprendimas, pabudimas iš miego. Atkreipkite dėmesį, kada tai nutinka, o ne tik kad nutiko, nes seka yra įrodymas. Konkreti suveikimo priežastis verta daugiau nei piktogramos ekrano kopija.

Tada patikrinkite išteklių, kai ryšys jau pakeltas. Meniu juosta įrodo, kad paslauga veikia, o ne kad jums reikalingas tikslas pasiekiamas per ją. Šie du dalykai gali išsiskirti dėl visiškai įprastų priežasčių, įskaitant maršrutą, rodantį kitur.

Kai taisyklė paleidžia netinkamą ryšį

Ryšys, kuris prasideda tada, kai neturėtų, paprastai kyla iš pasenusio profilio, platesnės nei numatyta domeno sąlygos arba dviejų konfigūracijų, konkuruojančių dėl to paties tinklo. Visi trys matomi įdiegtoje konfigūracijoje, ir nė vienas netampa aiškesnis įjungus bei išjungus paslaugą.

Nuneškite suveikimo priežastį, profilio savininką ir numatomą elgseną tam, kas valdo politiką. Apple dokumentacija apie veikimą pagal poreikį yra bendras to pokalbio žodynas, ir ji trumpesnė už ginčą. Prašykite politikos pakeitimo, o ne pašalinimo, ir abi pusės išlaikys veikiančią sąranką.