Kas patiešām mainās, pārslēdzot saglabātās VPN konfigurācijas macOS
Saglabāta Mac VPN pārslēgšana nav profila maiņa. Uzziniet, kas mainās maršrutos, DNS un akreditācijas datos, un kā pārbaudīt tuneli, ko patiešām saņēmāt.
Jūs atverat VPN sarakstu, izvēlaties otru saglabāto ierakstu un gaidāt tīru pārslēgumu: jaunu izejas adresi un visu pārējo nemainīgu. Tieši šis pieņēmums vispirms ir jāatmet. MacOS saglabāts VPN ir pilnvērtīgs tīkla pakalpojums, nevis priekšiestatījums, tāpēc pakalpojumu pārslēgšana var vienlaikus mainīt maršrutēšanu, DNS un autentifikāciju. Izvēļu josla parāda, kurš pakalpojums ir aktīvs; tā nepasaka, vai tunelis zem tā atbilst tam, ko vēlējāties.
Saglabātais saraksts nav profilu atlasītājs
Katrs ieraksts sadaļā Sistēmas iestatījumi > Tīkls ir atsevišķs pakalpojums ar savu servera adresi, kontu, autentifikācijas metodi, DNS serveriem un opcijām, piemēram, Sūtīt visu datplūsmu pa VPN savienojumu. Vecākās versijās tas pats saraksts ir Sistēmas iestatījumos. Divi ieraksti var norādīt uz vienu un to pašu resursdatora nosaukumu un tomēr uzvesties atšķirīgi, jo protokols vai klienta paplašinājums nosaka, kā tunelis tiek būvēts.
Trešo pušu klienti uztur atsevišķus sarakstus. Tunnelblick lasa konfigurācijas no sava mapes, WireGuard uztur savu tuneļu sarakstu, bet OpenVPN Connect glabā profilus lietotnē. Daži reģistrē konfigurāciju sistēmā; citi glabā visu lietotnē un nekad neparādās iebūvētajā sarakstā. Tāpēc «pārslēgties uz saglabāto» nozīmē dažādas darbības atkarībā no tā, kura lietotne pārvalda profilu.
scutil --nc list izdrukā sistēmas konfigurācijā reģistrētos VPN pakalpojumus ar nosaukumiem pēdiņās. Skriptojot pārslēgumu, izmantojiet tieši šos nosaukumus un nepieņemiet, ka saraksts aptver katru trešās puses tuneli.
Ko pārslēgums patiešām maina
Četras lietas kustas kopā, kad mainās aktīvais pakalpojums. Noklusējuma maršruts seko jaunajam tunelim, ja šis pakalpojums sūta visu datplūsmu; atrisinātāju saraksts mainās uz pakalpojuma norādītajiem DNS serveriem; jauni savienojumi kā avotu izmanto jauno tuneļa adresi; un izmantotie akreditācijas dati pieder jaunajam pakalpojumam. Vietējā konfigurācija un lietotnes profils nav savstarpēji aizvietojami, pat ja abi beidzas vienā vārtejā.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
Tieši DNS daļa cilvēkus pārsteidz. MacOS uztur atrisinātāju kārtību, un scutil --dns parāda, kuri atrisinātāji tiek izmantoti un kurā saskarnē. VPN pakalpojums bez iestatītiem DNS serveriem var atstāt atbildam Wi-Fi atrisinātāju, tāpēc jūs iegūstat jaunu publisko adresi ar veco DNS uzvedību un secināt, ka pārslēgums nostrādāja uz pusi.
Kāpēc vecā konfigurācija atgriežas
Ja atvienojaties un tas pats pakalpojums pēc brīža atkal pievienojas, vispirms apskatiet On Demand. Savienojuma pēc pieprasījuma noteikums var atgriezt pakalpojumu, kad lietotne atrisina atbilstošu domēnu, un pārvaldības profils var uzspiest to pašu noteikumu. Ieraksta dzēšana to reti salabo: ar profilu instalētā konfigurācija parasti atgriežas nākamajā profila atjauninājumā, bet manuālā var atstāt savu paroli Keychain, kamēr pakalpojuma vairs nav.
Otra pakalpojuma palaišana ne vienmēr aptur pirmo. Atkarībā no klienta un protokola jūs varat palikt ar diviem tuneļiem un divām maršrutu kopām, un datplūsmu nēsā nevis pēdējā klikšķa ikona, bet pakalpojumu secība un maršruta specifiskums. Pirms pieņemat, ka pārslēgums notika, pārbaudiet saskarnes.
Pārbaudiet tuneli, nevis ķeksīti
Pirms aiztiekat iestatījumus, izstaigājiet pašas sistēmas skatījumu.scutil --nc status "Name" ziņo, ko sistēma domā;ifconfig parāda, vai saskarnei utun ir adrese;netstat -rn -f inet parāda, kur vērsta noklusējuma maršruts;scutil --dns parāda faktiski izmantoto atrisinātāju. Pēc tam atveriet jaunu savienojumu un apstipriniet izejas adresi, jo jau pieteikusies lapa var joprojām izmantot ligzdu, kas piesaistīta vecajam tunelim.
Ja DNS joprojām atbild no vietējā tīkla, salīdziniet pakalpojuma iestatītos serverus ar atrisinātāju sarakstu. Ja noklusējuma maršruts joprojām rāda uz fizisko saskarni, pakalpojums ir sadalītā tunelī vai nav pilnībā pievienots. Abi ir konfigurācijas rezultāts, nevis salauzta klienta pierādījums.
Pārslēgšanas secība bez pārsteigumiem
- Pierakstiet pašreizējo pakalpojumu un to, vai to pārvalda profils.
- Vispirms atvienojiet to, ja abi tuneļi nevar pastāvēt kopā.
- Pievienojiet mērķi un gaidiet Savienots, nevis Savienojas.
- Pārbaudiet noklusējuma maršrutu, atrisinātāju sarakstu un jaunu izejas adresi.
- Restartējiet lietotnes, kas uztur ilgstošas sesijas.
Saglabājiet veco ierakstu, līdz jaunais iztur šīs pārbaudes, un piešķiriet katram ierakstam atšķirīgu nosaukumu; identiski apzīmējumi apgrūtina nākamās kļūmes attiecināšanu. Apple Mac palīdzība apraksta vietējo pusi VPN savienojuma iestatīšana Mac datorā, kas ir atsauce, ko pārbaudīt pirms pārvaldītas konfigurācijas rediģēšanas.
Ja izvēle atgriežas, vispirms uzskatiet to par politiku vai On Demand. Apstipriniet, kam pieder konfigurācija un vai tā ir iestatīta automātiskai pievienošanai, tad izlemiet, vai maināt pakalpojumu, vai cīnāties ar profilu.