Редоследот на услуги во macOS не ги контролира вашите VPN рути

Нешто на веб-страница не успева, колега се сеќава дека постои редослед на услуги и Wi-Fi се влече над Ethernet. Ништо не се менува, бидејќи таа листа никогаш не одлучила каде оди VPN одредиштето. Apple им дава приоритет на VPN врските пред обичните и ги држи надвор од тоа прередување, па прекинувачот одговара на потесно прашање од поставеното. На дефектот му требаат избраната рута и resolver, не ново рангирање.

Што менува редоследот на услуги и што никогаш не допира

„Постави редослед на услуги“ се наоѓа во Системски поставки, Мрежа, во менито Дејство, и ги рангира обичните врски кога две или повеќе се активни. Тоа рангирање ја избира примарната услуга, која ја дава стандардната рута и дел од однесувањето на resolver. Тоа е одлука меѓу еднакви, не прекинувач за приватни одредишта зад тунел. Пренослив сметач со Wi-Fi и USB Ethernet адаптер го користи за да одговори на разумно прашање, а тоа прашање не е за тунелот.

VPN профилот носи вклучени рути, исклучени одредишта и понекогаш правила по апликација, и тие одлучуваат што влегува во тунелот; менито за подредување не ги уредува. Затоа профил со поделен тунел може да го остави јавниот сообраќај надвор, додека VPN сѐ уште е над секој физички интерфејс. Влечењето на Wi-Fi на врвот не го прави приватен опсег достапен и не може да го запре одредиштето што профилот веќе го вклучува. Листата ги поместува интерфејсите; профилот ги поместува префиксите. Apple го документира приоритетот на својата страница за редослед на мрежни услуги, која вреди да се прочита еднаш пред да прередите нешто.

Прочитајте ја рутата што машината навистина ја избра

Прашајте ја машината каде оди одредена адреса со route get 10.20.4.10, потоа повторете за IPv6 со route -n get -inet6 2001:db8::10. Двете фамилии се одделни одлуки, па функционална IPv4 рута не кажува ништо за v6, а директно поврзана подмрежа или поспецифичен префикс сепак ја победува општата ознака за врска, што е токму причината зошто ознаката продолжува да ги збунува луѓето.

Ако излезот го именува интерфејсот на тунелот, профилот го фатил одредиштето и подредувањето е неважно. Ако го именува физичкиот интерфејс, профилот не го сторил тоа, и никакво влечење нема да ја смени табелата со префикси. Двата излеза ја именуваат и изворната адреса што машината би ја користела, и тоа е полето што треба да се цитира кога се споредуваат две извршувања. Зачувајте го излезот пред да смените нешто, бидејќи тоа е единствениот доказ што ќе го имате потоа.

DNS решава по име, не по интерфејс

Ограничени и доменски resolver-и значат дека одговорот може да се разликува по име наместо по интерфејс. scutil --dns ја печати конфигурацијата на resolver што системот навистина ја користи, вклучително ограничени записи. Редоследот на услуги влијае на тоа која услуга го дава стандардниот resolver, но опсег специфичен за име сепак може да победи.

Затоа ping до адреса може да работи додека името на домаќинот не успева, или обратно. Прочитајте ги двата излеза пред да изберете виновник.

Сменете го профилот, потоа повторно прочитајте ги двата излеза

Кога политиката за одредишта треба да се смени, сопственик е VPN профилот: вклучени рути, исклучени рути и сите правила за поделен тунел што ги поддржува добавувачот. Менувањето интерфејси само ја поместува расправата. На Mac што се управува од далечина, прво зачувајте ја тековната мрежна состојба, бидејќи губењето на тунелот на машина до која не можете да стигнете е патување, а не враќање.

Репродуцирајте го дефектот, прочитајте ја рутата, прочитајте го resolver, сменете една работа, потоа повторно прочитајте ги истите два излеза. Мешањето неколку услуги и профили одеднаш остава машина што никој не може да ја објасни, вклучително и тој што ја поправил. Тестот завршува кога двата излеза се согласуваат со промената што сте ја намеравале. Ако сѐ уште не се согласуваат, профилот и машината опишуваат две различни политики, а профилот е тој што треба да се смени.