Што навистина се менува кога менувате зачувани VPN конфигурации на macOS
Менувањето зачуван Mac VPN не е замена на профил. Погледнете што се менува во рутите, DNS и акредитивите и како да го проверите тунелот што навистина го добивте.
Ја отворате листата VPN, ја избирате другата зачувана ставка и очекувате чиста замена: нова излезна адреса, а сѐ друго непроменето. Токму оваа претпоставка треба прво да ја отфрлите. На macOS зачуваниот VPN е целосна мрежна услуга, а не однапред поставено правило, па менувањето услуги може истовремено да го смени рутирањето, DNS и автентикацијата. Лентата со мени покажува која услуга е активна; таа не кажува дали тунелот под неа одговара на вашата намера.
Зачуваната листа не е избирач на профили
Секоја ставка во Системски поставки > Мрежа е посебна услуга, со сопствена адреса на серверот, сметка, метод на автентикација, DNS сервери и опции како Испрати го целиот сообраќај преку VPN врската. Во постарите верзии истата листа е во Системски поставки. Две ставки може да покажуваат на исто име на домаќин и сепак да се однесуваат различно, бидејќи протоколот или екстензијата на клиентот одредува како се гради тунелот.
Клиентите од трети страни држат одделни листи. Tunnelblick чита конфигурации од својата папка, WireGuard држи сопствена листа на тунели, а OpenVPN Connect ги чува профилите во апликацијата. Некои регистрираат конфигурација во системот; други држат сѐ во апликацијата и никогаш не се појавуваат во вградената листа. Затоа „префрли на зачуваната“ значи различни дејства зависно од тоа која апликација го поседува профилот.
scutil --nc list ги печати VPN услугите регистрирани во системската конфигурација, со имињата во наводници. Користете ги точно тие имиња кога скриптирате менување и не претпоставувајте дека листата го покрива секој тунел од трета страна.
Што навистина менува менувањето
Четири работи се движат заедно кога ќе се смени активната услуга. Стандардната рута го следи новиот тунел ако таа услуга го испраќа целиот сообраќај; листата на разрешувачи се менува на DNS серверите што ги наведува услугата; новите врски ја земаат новата адреса на тунелот како извор; а акредитивите што се користат ѝ припаѓаат на новата услуга. Вградена конфигурација и профил на апликација не се заменливи, дури и кога двете завршуваат на иста порта.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
Делот со DNS е она што ги збунува луѓето. macOS одржува редослед на разрешувачи, а scutil --dns покажува кои разрешувачи се користат и на кое јавно мрежно место. VPN услуга без поставени DNS сервери може да го остави Wi-Fi разрешувачот да одговара, па добивате нова јавна адреса со старо DNS однесување и заклучувате дека менувањето работело половина.
Зошто старата конфигурација се враќа
Ако се исклучите и истата услуга се поврзе повторно по момент, прво погледнете On Demand. Правило за поврзување по барање може да врати услуга кога апликацијата ќе разреши соодветен домен, а профилот за управување може да го наметне истото правило. Бришењето на ставката ретко го поправа тоа: конфигурација инсталирана преку профил обично се враќа при следното освежување на профилот, а рачната може да ја остави својата лозинка во Keychain додека услугата веќе ја нема.
Започнувањето втора услуга не секогаш ја запира првата. Зависно од клиентот и протоколот може да останете со два тунели и две групи рути, а сообраќајот го носи не последно кликнатата икона, туку редоследот на услугите и специфичноста на рутата. Проверете ги интерфејсите пред да претпоставите дека се случила замена.
Проверете го тунелот, не ознаката
Поминете низ сопствениот поглед на системот пред да ги допрете поставките.scutil --nc status "Name" известува што мисли системот;ifconfig покажува дали интерфејсот utun има адреса;netstat -rn -f inet покажува каде води стандардната рута;scutil --dns го покажува разрешувачот што навистина се користи. Потоа отворете нова врска и потврдете ја излезната адреса, зашто страница што веќе е најавена може сѐ уште да користи сокет врзан за стариот тунел.
Ако DNS сѐ уште одговара од локалната мрежа, споредете ги поставените сервери на услугата со листата на разрешувачи. Ако стандардната рута сѐ уште покажува на физичкиот интерфејс, услугата е во поделен тунел или не е целосно поврзана. Двете се резултат на конфигурација, не доказ за расипан клиент.
Редослед на менување без изненадувања
- Забележете ја текуштата услуга и дали профил управува со неа.
- Прво исклучете ја кога двата тунели не можат да постојат заедно.
- Поврзете ја целта и чекајте Поврзано, не Поврзување.
- Проверете ја стандардната рута, листата на разрешувачи и нова излезна адреса.
- Рестартирајте ги апликациите што држат долготрајни сесии.
Чувајте ја старата ставка додека новата не ги помине овие проверки и дајте ѝ на секоја ставка посебно име; идентични етикети го отежнуваат припишувањето на следниот дефект. Помошта на Apple за Mac ја опишува вградената страна на Поставување VPN врска на Mac, што е референцата што треба да се провери пред уредување на управувана конфигурација.
Ако изборот се врати, третирајте го прво како политика или On Demand. Потврдете чија е конфигурацијата и дали е поставена за автоматско поврзување, потоа одлучете дали менувате услуга или се борите со профил.