VPN pada Mac tersangkut pada «Menyah Sambung»: apa yang sebenarnya berjalan

«Menyah Sambung» ialah keadaan yang dilaporkan klien semasa ia membongkar terowong, bukan keputusan bahawa trafik telah berhenti. Pada Mac pembongkaran itu berjalan sebagai jujukan pendek, dan label hanya berubah selepas komponen yang memiliki sambungan melapor balik. Apabila satu langkah menunggu pembantu, pemalam atau keputusan dasar, label boleh kekal di situ selepas antara muka hilang, atau terowong boleh terus menghantar sementara menu masih menunjukkannya. Anggap teks itu sebagai «pembongkaran sedang berjalan, hasil tidak diketahui» dan tentukan separuh mana yang benar.

Dua kegagalan kelihatan sama dari bar menu dan memerlukan tindak balas bertentangan. Pada satu, terowong masih membawa paket dan hanya paparan sudah lapuk. Pada yang lain, terowong sudah tiada tetapi dasar berasingan mengekalkan trafik disekat, yang selalunya disengajakan. Laluan dan keadaan DNS memisahkan kedua-duanya lebih pantas daripada sebarang tindakan menu.

Apa yang dijejaki label

Klien VPN menyimpan mesin keadaan kecil, dan bar menu ialah unjurannya. Bagi sambungan yang diuruskan oleh macOS sendiri, mesin itu berada dalam kerangka VPN sistem. Bagi terowong yang diuruskan oleh aplikasi, ia berada dalam aplikasi dan pembantu teristimewanya. Langkah terakhir sesuatu hentian bukan menutup soket. Ia melepaskan apa yang menjadikan terowong berfungsi: antara muka utun, laluan yang menghala ke sana, entri penyelesai yang disuntik klien, dan mana-mana peraturan tembok api atau dasar yang menyekat trafik semasa bersambung.

Langkah-langkah itu berasingan, jadi hentian boleh tersangkut pada mana-mana satu daripadanya. Pembantu yang berhenti menjawab, laluan yang juga dituntut antara muka kedua, atau entri penyelesai yang dimiliki profil lain boleh membiarkan klien menunggu. Label ialah laporan tentang kemajuan klien sendiri, yang menjadikannya berwibawa tentang niat dan tidak boleh dipercayai tentang rangkaian.

Cari komponen yang memiliki sambungan

Bagi konfigurasi asli, scutil --nc list mencetak perkhidmatan yang diketahui sistem dan statusnya, dan scutil --nc status "Work VPN" memberi perincian satu perkhidmatan. Terowong yang dipegang aplikasi pihak ketiga mungkin tidak muncul sama sekali dalam senarai itu, jadi hasil kosong bukan bukti bahawa tiada apa-apa disambungkan.

Apabila profil milik sesuatu aplikasi, bergantung pada paparan statusnya dan kawalan «Putuskan Sambungan» yang didokumenkan. Menutup tetingkap bukan permintaan hentian jika pembantu latar belakang memiliki terowong itu; ikon hilang dan pembantu mengekalkan antara muka hidup. rujukan tetapan VPN Apple merangkumi kawalan asli dan dari mana tetapan terurus datang.

Baca antara muka, laluan dan DNS

Tiga semakan menjawab sebahagian besar soalan tanpa menyentuh sambungan. Yang penting ialah mentafsirnya bersama, kerana setiap satu bersendirian mengelirukan.

scutil --nc list
netstat -rn -f inet | head -20
ifconfig | grep -A 3 '^utun'
scutil --dns | head -30

• antara muka utun ada, laluan lalai atau terpisah melaluinya, penyelesai menghala ke penyedia: terowong masih hidup dan label sudah lapuk.
• tiada utun, laluan lalai biasa, DNS daripada DHCP, tiada internet: dasar yang menyekat semasa terputus sedang menjalankan tugasnya.
• tiada utun, tiada laluan, penyelesai masih menghala ke penyedia: pembongkaran berhenti di tengah jalan, dan DNS ialah sisa yang perlu dibersihkan.

Kemudian hantar satu permintaan ke hos dalaman yang sepatutnya hanya menjawab melalui terowong dan satu ke hos awam. Kebolehcapaian memisahkan dasar daripada keadaan sisa tanpa menjadikan semakan itu latihan pengukuran. Simpan kerja jauh dahulu jika laluan masih bertindak balas, dan sediakan cara masuk kedua sebelum mengubah rangkaian pada mesin yang anda urus dari jauh.

Mengapa pembunuhan meluas dan pemadaman profil mengelirukan

Nama proses seperti pppd, racoon dan configd milik pelaksanaan tertentu. Membunuhnya boleh menjejaskan sambungan lain, meninggalkan laluan dan antara muka utun, dan tidak memberi anda rekod langkah mana yang tersangkut. Nama proses lama juga bukan bukti bahawa ia memiliki profil semasa.

Memadam dan mencipta semula profil ialah perubahan lebih besar daripada membersihkan peralihan yang tersangkut. Ia boleh membuang tetapan terurus dan bahan identiti setempat tanpa menjelaskan apa yang gagal, dan pada Mac yang diawasi ia mungkin hanya dipulihkan. Simpan pemadaman untuk konfigurasi yang benar-benar lapuk dan diagnosis peralihannya.

Jujukan hentian yang meninggalkan jejak

Urutan di bawah menyerahkan kawalan sambungan itu sendiri sebagai bertanggungjawab dan menghasilkan rekod jika kesesakan kembali. Ia juga menghalang anda daripada menukar masalah paparan menjadi perubahan rangkaian.

1. Simpan kerja jauh, dan pastikan anda boleh mencapai Mac dengan cara lain jika ia jauh.
2. Catat nama klien, versi dan profil. Tangkap tetingkap pendek dengan log show --last 5m --predicate 'subsystem == "com.apple.networkextension"'; keluaran lama menyimpan kurang sejarah, jadi jalankannya sejurus selepas kesesakan.
3. Gunakan kawalan «Putuskan Sambungan» yang didokumenkan, tunggu, kemudian ulangi semakan antara muka dan laluan.
4. Jika label sudah lapuk tetapi terowong sudah turun, biarkan dan biarkan klien menyegarkan diri daripada memaksa proses.
5. Jika pembongkaran benar-benar tersangkut, mulakan semula klien, kemudian rancang permulaan semula Mac selepas kerja disimpan. Mesin terurus memerlukan prosedur pentadbir.

Selepas pemulihan, pastikan laluan lalai biasa dan penyelesai DHCP kembali, dan trafik yang disekat sama ada dipulihkan atau masih disekat dengan sengaja. Catat profil dan versi klien bersama simptom, supaya kejadian seterusnya bermula daripada bukti dan bukan daripada tekaan di bar menu.