Mac VPN iestrēdzis pie «Atvieno»: kas patiešām darbojas

Atvienošana ir pāreja, nevis apstādināts tunelis. Pārbaudiet, kura komponente pārvalda nojaukšanu, izlasiet maršrutus un DNS, un izvairieties no plašas procesu nogalināšanas.

«Atvieno» ir stāvoklis, ko klients ziņo, kamēr nojauc tuneli, nevis spriedums, ka datplūsma ir apstājusies. Mac datorā šī nojaukšana norit kā īsa secība, un apzīmējums mainās tikai pēc tam, kad savienojumu pārvaldošā komponente atbild. Kad kāds solis gaida palīgu, spraudni vai politikas lēmumu, apzīmējums var palikt vietā pēc tam, kad saskarne ir pazudusi, vai tunelis var turpināt pārsūtīt, kamēr izvēlne to vēl rāda. Uztveriet tekstu kā «nojaukšana notiek, iznākums nav zināms» un noskaidrojiet, kura puse ir patiesa.

Divas kļūmes izskatās vienādi no izvēlnes joslas un prasa pretēju reakciju. Vienā tunelis vēl pārvadā paketes un tikai attēlojums ir novecojis. Otrā tuneļa vairs nav, bet atsevišķa politika tur datplūsmu bloķētu, kas bieži ir apzināti. Maršruti un DNS stāvoklis tos atdala ātrāk nekā jebkura izvēlnes darbība.

Ko izseko apzīmējums

VPN klients uztur mazu stāvokļa mašīnu, un izvēlnes josla ir tās projekcija. Savienojumā, ko pārvalda pats macOS, šī mašīna atrodas sistēmas VPN ietvarā. Lietotnes pārvaldītā tunelī tā atrodas lietotnē un tās privilēģētajā palīgā. Pēdējais apturēšanas solis nav ligzdas aizvēršana. Tas ir tā atbrīvošana, kas tuneli darīja darbspējīgu: utun saskarnes, uz to vērsto maršrutu, klienta ievietoto atrisinātāja ierakstu un jebkura ugunsmūra noteikuma vai politikas, kas bloķēja datplūsmu savienojuma laikā.

Šie soļi ir atsevišķi, tāpēc apturēšana var iestrēgt jebkurā no tiem. Palīgs, kas pārstāj atbildēt, maršruts, uz kuru pretendē arī otra saskarne, vai atrisinātāja ieraksts, kas pieder citam profilam, var atstāt klientu gaidām. Apzīmējums ir ziņojums par paša klienta gaitu, kas to padara autoritatīvu nodoma ziņā un neuzticamu tīkla ziņā.

Atrodiet komponenti, kas pārvalda savienojumu

Vietējās konfigurācijās scutil --nc list izdrukā pakalpojumus, ko sistēma zina, un to stāvokli, un scutil --nc status "Work VPN" sniedz viena pakalpojuma detaļas. Tunelis, ko tur trešās puses lietotne, šajā sarakstā var vispār neparādīties, tāpēc tukšs rezultāts nav pierādījums, ka nekas nav pievienots.

Kad profils pieder lietotnei, paļaujieties uz tās stāvokļa skatu un dokumentēto vadīklu «Atvienot». Loga aizvēršana nav apturēšanas pieprasījums, ja tuneli pārvalda fona palīgs; ikona pazūd, un palīgs uztur saskarni dzīvu. Apple VPN iestatījumu uzziņa aptver vietējās vadīklas un to, no kurienes nāk pārvaldītie iestatījumi.

Lasiet saskarnes, maršrutus un DNS

Trīs pārbaudes atbild uz lielāko daļu jautājuma, nepieskaroties savienojumam. Svarīgi tās interpretēt kopā, jo katra atsevišķi maldina.

scutil --nc list
netstat -rn -f inet | head -20
ifconfig | grep -A 3 '^utun'
scutil --dns | head -30
  • utun saskarne ir, caur to iet noklusējuma vai sadalītais maršruts, atrisinātājs norāda uz pakalpojumu sniedzēju: tunelis vēl ir augšā, un apzīmējums ir novecojis.
  • utun nav, parasts noklusējuma maršruts, DNS no DHCP, interneta nav: politika, kas bloķē pēc atvienošanas, dara savu darbu.
  • utun nav, maršruta nav, atrisinātājs joprojām norāda uz pakalpojumu sniedzēju: nojaukšana apstājās pusceļā, un DNS ir atlikums, kas jānotīra.

Pēc tam nosūtiet vienu pieprasījumu uz iekšēju resursdatoru, kuram vajadzētu atbildēt tikai caur tuneli, un vienu uz publisku resursdatoru. Sasniedzamība atdala politiku no atlikušā stāvokļa, nepārvēršot pārbaudi mērīšanas vingrinājumā. Ja ceļš vēl atbild, vispirms saglabājiet attālo darbu un nodrošiniet otru iekļūšanas ceļu, pirms maināt tīklu mašīnā, kuru pārvaldāt attālināti.

Kāpēc plaša nogalināšana un profila dzēšana maldina

Procesu nosaukumi, piemēram, pppd, racoon un configd, pieder konkrētām implementācijām. To nogalināšana var ietekmēt citus savienojumus, atstāj maršrutus un utun saskarnes, un nesniedz nekādu ierakstu par to, kurā solī iestrēga. Vecs procesa nosaukums arī nav pierādījums, ka tas pārvalda pašreizējo profilu.

Profila dzēšana un atkārtota izveide ir lielāka izmaiņa nekā iestrēgušas pārejas notīrīšana. Tā var izmest pārvaldītos iestatījumus un vietējo identitātes materiālu, nepaskaidrojot, kas neizdevās, un uzraudzītā Mac tā var vienkārši tikt atjaunota. Saglabājiet dzēšanu patiešām novecojušai konfigurācijai un tā vietā diagnosticējiet pāreju.

Apturēšanas secība, kas atstāj pēdas

Tālāk dotā kārtība atstāj paša savienojuma vadīklas atbildīgas un rada ierakstu, ja iestrēgums atgriežas. Tā arī pasargā no tā, ka attēlojuma problēmu pārvēršat tīkla izmaiņās.

  1. Saglabājiet attālo darbu un pārliecinieties, ka Mac sasniedzat citādi, ja tas ir attālināts.
  2. Pierakstiet klienta nosaukumu, versiju un profilu. Uztveriet īsu logu ar log show --last 5m --predicate 'subsystem == "com.apple.networkextension"'; vecāki laidieni glabā mazāk vēstures, tāpēc palaidiet to drīz pēc iestrēguma.
  3. Izmantojiet dokumentēto vadīklu «Atvienot», nogaidiet un pēc tam atkārtojiet saskarnes un maršrutu pārbaudes.
  4. Ja apzīmējums ir novecojis, bet tunelis ir nolaists, atstājiet to un ļaujiet klientam atjaunoties, tā vietā lai piespiestu procesus.
  5. Ja nojaukšana patiešām iestrēga, restartējiet klientu un pēc tam plānojiet Mac restartu, kad darbs ir saglabāts. Pārvaldītām mašīnām vajadzīga administratora procedūra.

Pēc atjaunošanas pārliecinieties, ka parastais noklusējuma maršruts un DHCP atrisinātājs ir atgriezušies un ka bloķētā datplūsma ir vai nu atjaunota, vai apzināti joprojām bloķēta. Pierakstiet profilu un klienta versiju kopā ar simptomu, lai nākamā reize sāktos ar pierādījumiem, nevis ar minējumu izvēlnes joslā.

Saistītie raksti