Mac дээрх VPN «Салгаж байна» дээр гацсан: үнэндээ юу ажиллаж байна

Салгах нь шилжилт бөгөөд зогссон туннель биш. Туннелийг задлахыг аль компонент эзэмшиж байгааг шалгаж, маршрут болон DNS-ийг уншиж, процессуудыг бөөнөөр алахыг зайлсхий.

«Салгаж байна» нь туннелийг задлах үед клиент мэдээлдэг төлөв бөгөөд трафик зогссон гэсэн дүгнэлт биш. Mac дээр тэр задлалт богино дарааллаар явагдах бөгөөд холболтыг эзэмшиж буй компонент хариу буцаасны дараа л шошго өөрчлөгдөнө. Аль нэг алхам туслах, залгаас эсвэл бодлогын шийдвэрийг хүлээж байвал интерфейс алга болсны дараа ч шошго хэвээр үлдэж болно, эсвэл цэс хараахан харуулж байх үед туннель дамжуулсаар байж болно. Текстийг «задлалт явж байна, үр дүн тодорхойгүй» гэж үзэж, аль хагас нь үнэн болохыг тогтоо.

Хоёр гэмтэл цэсийн мөрнөөс ижил харагдах бөгөөд эсрэг хариу шаарддаг. Нэгд нь туннель пакетуудыг зөөсөөр байгаа бөгөөд зөвхөн дэлгэц хуучирсан. Нөгөөд нь туннель алга болсон боловч тусдаа бодлого трафикийг хаалттай байлгаж байна, энэ нь ихэвчлэн санаатай. Маршрут болон DNS-ийн төлөв тэдгээрийг ямар ч цэсийн үйлдлээс хурдан ялгана.

Шошго юуг хянадаг вэ

VPN клиент жижиг төлөвийн машин хадгалдаг бөгөөд цэсийн мөр нь түүний проекц юм. macOS өөрөө удирддаг холболтын хувьд тэр машин системийн VPN хүрээнд байна. Апп удирддаг туннелийн хувьд тэр апп болон түүний давуу эрхтэй туслах дотор байна. Зогсоолтын сүүлчийн алхам нь сокет хаах биш. Энэ нь туннелийг ажиллуулж байсан зүйлсийг чөлөөлөх: utun интерфейс, түүн рүү заасан маршрутууд, клиент оруулсан шийдэгчийн бичлэгүүд, холболттой байх үед трафикийг хаасан галт хананы дүрэм эсвэл бодлого.

Эдгээр алхмууд тусдаа тул зогсоолт аль ч дээр нь гацаж болно. Хариулахаа болих туслах, хоёр дахь интерфейс ч шаардаж буй маршрут, эсвэл өөр профайл эзэмшдэг шийдэгчийн бичлэг клиентийг хүлээлгэж болно. Шошго нь клиентийн өөрийн дэвшлийн тайлан тул санаа зорилгын хувьд эрх мэдэлтэй, сүлжээний хувьд найдваргүй болгодог.

Холболтыг эзэмшиж буй компонентийг ол

Эх конфигурацид scutil --nc list системд мэдэгдэх үйлчилгээнүүд болон тэдгээрийн төлөвийг хэвлэх бөгөөд scutil --nc status "Work VPN" нэг үйлчилгээний дэлгэрэнгүйг өгнө. Гуравдагч талын апп эзэмшиж буй туннель тэр жагсаалтад огт харагдахгүй байж болно, тиймээс хоосон үр дүн юу ч холбогдоогүйн баталгаа биш.

Профайл апп-д хамаарах бол түүний төлөвийн харагдац болон баримтжуулсан «Салгах» удирдлагад найдаарай. Цонхыг хаах нь зогсоох хүсэлт биш, хэрэв арын туслах туннелийг эзэмшиж байвал; дүрс алга болж, туслах интерфейсийг амьд байлгана. Apple-ийн VPN тохиргооны лавлагаа эх удирдлагууд болон удирдлагын тохиргоо хаанаас ирдэг талыг хамарна.

Интерфейс, маршрут болон DNS-ийг унш

Гурван шалгалт холболтыг хөндөхгүйгээр асуултын ихэнх хэсэгт хариулна. Тэдгээрийг хамт тайлбарлах нь чухал, учир нь тус бүр нь ганцаараа төөрөгдүүлдэг.

scutil --nc list
netstat -rn -f inet | head -20
ifconfig | grep -A 3 '^utun'
scutil --dns | head -30
  • utun интерфейс байна, түүгээр үндсэн эсвэл хуваагдсан маршрут өнгөрнө, шийдэгч нийлүүлэгч рүү заана: туннель хараахан боссон, шошго хуучирсан.
  • utun байхгүй, энгийн үндсэн маршрут, DNS нь DHCP-ээс, интернет байхгүй: салгах үед хаадаг бодлого өөрийн ажлыг хийж байна.
  • utun байхгүй, маршрут байхгүй, шийдэгч хараахан нийлүүлэгч рүү: задлалт хагас замд зогсож, DNS нь цэвэрлэх үлдэгдэл юм.

Дараа нь зөвхөн туннелээр хариулах ёстой дотоод хост руу нэг хүсэлт, нээлттэй хост руу нэг хүсэлт илгээ. Хүртээмж нь шалгалтыг хэмжилтийн дасгал болгохгүйгээр бодлогыг үлдэгдэл төлвөөс ялгана. Хэрэв зам хараахан хариу өгч байвал эхлээд алсын ажлыг хадгалж, алсаас удирдаж буй машин дээр сүлжээг өөрчлөхөөс өмнө орох хоёр дахь замыг бүрдүүл.

Бөөнөөр алах, профайл устгах нь яагаад төөрөгдүүлдэг вэ

pppd, racoon, configd зэрэг процессын нэрс тодорхой хэрэгжүүлэлтүүдэд хамаарна. Тэдгээрийг алах нь бусад холболтод нөлөөлж болзошгүй, маршрут болон utun интерфейсүүдийг үлдээдэг, аль алхамд гацсаны бүртгэл өгдөггүй. Хуучин процессын нэр ч одоогийн профайлыг эзэмшиж байгаагийн баталгаа биш.

Профайлыг устгаж дахин үүсгэх нь гацсан шилжилтийг цэвэрлэхээс илүү том өөрчлөлт юм. Юу бүтэлгүйтсэнийг тайлбаргүйгээр удирдлагын тохиргоо болон локал таних материалыг хаяж болох бөгөөд хяналттай Mac дээр зүгээр л сэргээгдэж магадгүй. Устгалыг үнэхээр хуучирсан конфигурацид үлдээж, оронд нь шилжилтийг оношил.

Мөр үлдээдэг зогсоолтын дараалал

Доорх дараалал холболтын өөрийн удирдлагуудыг хариуцлагатай үлдээж, гацалт буцаж ирвэл бүртгэл үүсгэдэг. Мөн дэлгэцийн асуудлыг сүлжээний өөрчлөлт болгохоос сэргийлнэ.

  1. Алсын ажлыг хадгалаад, Mac алсад байгаа бол өөр замаар хүрч чадах эсэхээ батал.
  2. Клиентийн нэр, хувилбар болон профайлыг тэмдэглэ. log show --last 5m --predicate 'subsystem == "com.apple.networkextension"'-оор богино цонх барьж ав; хуучин хувилбарууд цөөн түүх хадгалдаг тул гацсаны дараа шууд ажиллуул.
  3. Баримтжуулсан «Салгах» удирдлагыг ашиглаад, хүлээгээд дараа нь интерфейс болон маршрутын шалгалтыг давт.
  4. Шошго хуучирсан боловч туннель доогуур байвал түүнийг орхиж, процессуудыг албадахын оронд клиент шинэчлэгдэхийг зөвшөөр.
  5. Задлалт үнэхээр гацсан бол клиентийг дахин эхлүүлээд, ажил хадгалагдсаны дараа Mac-ийг дахин эхлүүлэхийг төлөвлө. Удирдлагын машинд администраторын журам шаардлагатай.

Сэргэсний дараа ердийн үндсэн маршрут болон DHCP шийдэгч буцаж ирсэн, хаагдсан трафик нь сэргэсэн эсвэл санаатайгаар хэвээр хаалттай байгаа эсэхийг батал. Профайл болон клиентийн хувилбарыг шинж тэмдэгтэй хамт тэмдэглэ, дараагийн тохиолдол цэсийн мөрийн таамаглалаас биш, нотолгооноос эхлэх болтугай.

Холбоотой нийтлэлүүд