Mac anda menyambung semula VPN sendiri: semak peraturan atas permintaan

Anda memutuskan VPN dan tiga puluh saat kemudian ikon bar menu kembali. Tiada apa yang berhantu: peraturan atas permintaan macOS memulakan sambungan apabila rangkaian berubah atau apabila sesuatu meminta nama yang diliputi peraturan itu, dan peraturan itu boleh tinggal dalam profil yang tidak pernah anda tulis. Menelusuri pemeriksaan di bawah mengikut urutan lebih pantas daripada memasang semula klien. Peraturan itu ialah dasar, jadi baca dasar sebelum berperang dengannya.

Apa yang sebenarnya dipantau oleh peraturan

Peraturan atas permintaan mempunyai dua titik keputusan: rangkaian yang disambungkan oleh Mac, dan domain yang cuba diselesaikan oleh sesuatu. Sama ada salah satu boleh menaikkan terowong, sebab itulah mencari nama dalaman memulakan VPN yang tiada siapa buka. Penggunaan juga memerlukan pengesahan yang berfungsi tanpa kehadiran orang, sebab itulah susunan berasaskan sijil mendominasi armada terurus.

Di samping dasar sistem mungkin ada pilihan sambung semula bagi setiap aplikasi, jadi soalan pertama ialah mekanisme mana yang menyambung semula terowong. Semak dasar sistem dahulu, kemudian klien, dan hanya selepas itu sesiapa yang mengklik Putuskan. Kebanyakan keutamaan klien yang kelihatan bertanggungjawab sebenarnya bukan. Urutan itu penting kerana dasar sistem menang secara lalai, dan tetapan pada peringkat klien hanya boleh menjelaskan kes yang tidak diliputi dasar.

Siapa pemilik dasar, dan berapa kos penyingkiran

Baca profil yang dipasang dan kawalan klien yang disokong sebelum mengubah mana-mana daripadanya. Jika Mac diurus, syaratnya didokumenkan di suatu tempat, dan meminta dokumen itu lebih baik daripada merekayasa balik SSID dan domain dari luar.

Bahan kepercayaan pada Mac dikongsi dengan setiap perkhidmatan lain yang menggunakannya, jadi pembatalan ialah langkah terakhir, bukan yang pertama. Alih keluar profil yang memiliki peraturan itu, kemudian sahkan peraturan berhenti berkuat kuasa sebelum anda menyentuh sijil. Profil yang baru separuh dialih keluar itulah sebabnya orang membuat kesimpulan bahawa tingkah laku itu rawak. Dua arahan yang menunjukkan apa yang dipasang wajar disimpan:

profiles show -type configuration
scutil --nc list

Apa yang tidak dibuktikan oleh sambung semula

Sambung semula atas permintaan tidak berkata apa-apa tentang jurang: semasa terowong naik, trafik masih boleh keluar melalui antara muka fizikal kecuali dasar berasingan menahannya. Menyekat sebelum terowong wujud ialah tetapan berbeza daripada memulakan terowong. Mesin yang menyambung semula dengan pantas masih boleh bocor pada saat-saat pertama.

Skop laluan ialah soalan ketiga, kerana peraturan yang memulakan terowong tidak berkata apa-apa tentang awalan yang dibawanya. Sahkan apa yang dilalukan oleh sambungan itu daripada menganggap sambung semula bermakna liputan penuh. Uji dengan sengaja: tutup klien, sahkan perkhidmatan berhenti, kemudian minta sumber yang sepatutnya dilindungi oleh peraturan itu.

Catat pencetus, bukan ikon

Catat apa yang menaikkan terowong: menyertai rangkaian, membuka aplikasi, menyelesaikan nama peribadi, bangun daripada tidur. Perhatikan bila ia berlaku, bukan hanya bahawa ia berlaku, kerana urutannya ialah bukti. Pencetus tertentu lebih bernilai daripada tangkapan skrin ikon.

Kemudian sahkan sumber itu selepas sambungan naik. Bar menu membuktikan sesuatu perkhidmatan sedang berjalan, bukan bahawa destinasi yang anda perlukan boleh dicapai melaluinya. Kedua-duanya boleh menyimpang atas sebab yang benar-benar biasa, termasuk laluan yang menunjuk ke tempat lain.

Apabila peraturan memulakan sambungan yang salah

Sambungan yang bermula apabila tidak sepatutnya biasanya datang daripada profil usang, syarat domain yang lebih luas daripada yang dimaksudkan, atau dua konfigurasi yang bersaing untuk rangkaian yang sama. Ketiga-tiganya kelihatan dalam konfigurasi yang dipasang, dan tiada satu pun menjadi lebih jelas dengan menghidupkan dan mematikan perkhidmatan.

Bawa pencetus, pemilik profil dan tingkah laku yang dimaksudkan kepada sesiapa yang menguruskan dasar. Dokumentasi Apple tentang atas permintaan ialah kosa kata bersama untuk perbualan itu, dan ia lebih pendek daripada perdebatan. Minta perubahan dasar dan bukan penyingkiran, dan kedua-dua pihak mengekalkan persediaan yang berfungsi.