„macOS“ paslaugų tvarka nevaldo jūsų VPN maršrutų

Svetainėje kažkas nepavyksta, kolega prisimena, kad egzistuoja paslaugų tvarka, ir „Wi-Fi“ nutempiamas aukščiau „Ethernet“. Niekas nesikeičia, nes tas sąrašas niekada nenusprendė, kur eina VPN paskirties vieta. „Apple“ teikia VPN ryšiams prioritetą prieš įprastus ir laiko juos už šio perrikiavimo ribų, todėl jungiklis atsako į siauresnį klausimą nei užduotas. Gedimui reikia pasirinkto maršruto ir resolver, o ne naujo reitingo.

Ką paslaugų tvarka keičia ir ko niekada neliečia

„Nustatyti paslaugų tvarką“ yra sistemos nustatymuose, tinkle, veiksmų meniu, ir ji reitinguoja įprastus ryšius, kai aktyvūs du ar daugiau. Šis reitingas parenka pagrindinę paslaugą, kuri teikia numatytąjį maršrutą ir dalį resolver elgsenos. Tai lygiųjų sprendimas tarp lygiaverčių, o ne jungiklis privatiems tikslams už tunelio. Nešiojamasis kompiuteris su „Wi-Fi“ ir USB „Ethernet“ adapteriu naudoja jį protingam klausimui atsakyti, ir tas klausimas ne apie tunelį.

VPN profilis neša įtrauktus maršrutus, pašalintas paskirties vietas ir kartais taisykles pagal programą, ir jos nusprendžia, kas patenka į tunelį; rikiavimo meniu jų neredaguoja. Štai kodėl split-tunnel profilis gali palikti viešą srautą lauke, o VPN vis tiek lenkia kiekvieną fizinę sąsają. „Wi-Fi“ nutempimas į viršų nepadaro privataus diapazono pasiekiamo ir negali sustabdyti paskirties vietos, kurią profilis jau apima. Sąrašas perkelia sąsajas; profilis perkelia priešdėlius. „Apple“ dokumentuoja prioritetą savo tinklo paslaugų tvarkos puslapyje, kurį verta perskaityti kartą prieš ką nors perrikiuojant.

Perskaitykite maršrutą, kurį mašina iš tikrųjų pasirinko

Paklauskite mašinos, kur eina konkretus adresas, naudodami route get 10.20.4.10, tada pakartokite IPv6 adresui su route -n get -inet6 2001:db8::10. Abi šeimos yra atskiri sprendimai, todėl veikiantis IPv4 maršrutas nieko nesako apie v6, o tiesiogiai prijungtas potinklis ar konkretesnis priešdėlis vis tiek nugali bendrą ryšio žymą, ir būtent todėl žyma toliau klaidina žmones.

Jei išvestis įvardija tunelio sąsają, profilis pagavo paskirties vietą ir tvarka nesvarbi. Jei ji įvardija fizinę sąsają, profilis to nepadarė, ir joks tempimas nepakeis priešdėlių lentelės. Abi išvestys taip pat įvardija šaltinio adresą, kurį mašina naudotų, ir tai laukas, kurį reikia cituoti lyginant du paleidimus. Išsaugokite išvestį prieš ką nors keisdami, nes tai vienintelis įrodymas, kurį turėsite po to.

DNS sprendžia pagal vardą, ne pagal sąsają

Apriboti ir domenui būdingi resolver reiškia, kad atsakymas gali skirtis pagal vardą, o ne pagal sąsają. scutil --dns išspausdina resolver konfigūraciją, kurią sistema iš tikrųjų naudoja, įskaitant apribotus įrašus. Paslaugų tvarka daro įtaką, kuri paslauga teikia numatytąjį resolver, bet vardui būdinga sritis vis tiek gali laimėti.

Todėl ping į adresą gali veikti, kol pagrindinio kompiuterio vardas nepavyksta, arba atvirkščiai. Perskaitykite abi išvestis prieš rinkdamiesi kaltininką.

Pakeiskite profilį, tada dar kartą perskaitykite abi išvestis

Kai reikia pakeisti paskirties politiką, savininkas yra VPN profilis: įtraukti maršrutai, pašalinti maršrutai ir visos split-tunnel taisyklės, kurias palaiko tiekėjas. Sąsajų keitimas tik perkelia ginčą. Nuotoliniu būdu valdomame „Mac“ pirmiausia išsaugokite dabartinę tinklo būseną, nes prarasti tunelį mašinoje, kurios nepasieksite, yra kelionė, o ne atsukimas.

Atkurkite gedimą, perskaitykite maršrutą, perskaitykite resolver, pakeiskite vieną dalyką, tada dar kartą perskaitykite tas pačias dvi išvestis. Kelių paslaugų ir profilių maišymas vienu metu palieka mašiną, kurios niekas negali paaiškinti, įskaitant tą, kuris ją sutaisė. Testas baigiamas, kai abi išvestys sutampa su numatytu pakeitimu. Jei jos vis dar nesutampa, profilis ir mašina apibūdina dvi skirtingas politikas, ir keisti reikia profilį.