Apa yang sebenarnya berubah apabila anda menukar konfigurasi VPN tersimpan pada macOS
Menukar VPN Mac yang tersimpan bukan pertukaran profil. Lihat apa yang berubah pada laluan, DNS dan kelayakan, serta cara mengesahkan terowong yang benar-benar anda peroleh.
Anda membuka senarai VPN, memilih entri tersimpan yang lain dan menjangka pertukaran bersih: alamat keluar baharu dan segala-galanya tidak berubah. Itulah andaian yang perlu ditinggalkan dahulu. Pada macOS, VPN tersimpan ialah perkhidmatan rangkaian penuh dan bukan pratetap, jadi menukar perkhidmatan boleh mengubah penghalaan, DNS dan pengesahan pada masa yang sama. Bar menu memberitahu perkhidmatan mana yang aktif; ia tidak memberitahu sama ada terowong di bawahnya sepadan dengan hasrat anda.
Senarai tersimpan bukan pemilih profil
Setiap entri dalam Tetapan Sistem > Rangkaian ialah perkhidmatan tersendiri, dengan alamat pelayan, akaun, kaedah pengesahan, pelayan DNS dan pilihan seperti Hantar semua trafik melalui sambungan VPN. Keluaran lama menyimpan senarai yang sama dalam Keutamaan Sistem. Dua entri boleh menunjuk ke nama hos yang sama dan masih berkelakuan berbeza, kerana protokol atau sambungan klien menentukan cara terowong dibina.
Klien pihak ketiga menyimpan senarai berasingan. Tunnelblick membaca konfigurasi daripada foldernya sendiri, WireGuard menyimpan senarai terowongnya sendiri, dan OpenVPN Connect menyimpan profil di dalam aplikasi. Sesetengah mendaftar konfigurasi dengan sistem; yang lain menyimpan segala-galanya di dalam aplikasi dan tidak pernah muncul dalam senarai terbina dalam. Jadi «tukar kepada yang tersimpan» bermaksud tindakan berbeza bergantung pada aplikasi yang memiliki profil itu.
scutil --nc list mencetak perkhidmatan VPN yang didaftarkan dalam konfigurasi sistem, dengan nama dalam tanda petik. Gunakan nama tepat itu apabila anda skripkan pertukaran, dan jangan andaikan senarai meliputi setiap terowong pihak ketiga.
Apa yang sebenarnya diubah oleh pertukaran
Empat perkara bergerak bersama apabila perkhidmatan aktif berubah. Laluan lalai mengikut terowong baharu jika perkhidmatan itu menghantar semua trafik; senarai penyelesai bertukar kepada pelayan DNS yang ditentukan perkhidmatan; sambungan baharu mengambil alamat terowong baharu sebagai sumbernya; dan kelayakan yang digunakan milik perkhidmatan baharu. Konfigurasi asli dan profil aplikasi tidak boleh ditukar ganti, walaupun kedua-duanya berakhir di gateway yang sama.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
Bahagian DNS itulah yang mengelirukan orang. macOS mengekalkan susunan penyelesai, dan scutil --dns menunjukkan penyelesai mana yang digunakan dan pada antara muka mana. Perkhidmatan VPN tanpa pelayan DNS yang dikonfigurasi boleh membiarkan penyelesai Wi-Fi menjawab, jadi anda mendapat alamat awam baharu dengan tingkah laku DNS lama dan membuat kesimpulan pertukaran berjaya separuh.
Mengapa konfigurasi lama kembali
Jika anda memutuskan sambungan dan perkhidmatan yang sama menyambung semula sejurus kemudian, lihat On Demand dahulu. Peraturan sambung atas permintaan boleh mengembalikan perkhidmatan apabila aplikasi menyelesaikan domain yang sepadan, dan profil pengurusan boleh menguatkuasakan peraturan yang sama. Memadam entri jarang membaikinya: konfigurasi yang dipasang profil biasanya kembali pada muat semula profil seterusnya, dan yang manual boleh meninggalkan kata laluannya dalam Keychain sedangkan perkhidmatannya sudah tiada.
Memulakan perkhidmatan kedua tidak selalu menghentikan yang pertama. Bergantung pada klien dan protokol, anda mungkin berakhir dengan dua terowong dan dua set laluan, dan susunan perkhidmatan serta kekhususan laluan yang menentukan mana yang membawa trafik, bukan ikon yang anda klik terakhir. Periksa antara muka sebelum menganggap pertukaran berlaku.
Sahkan terowong, bukan tanda semak
Lalui pandangan sistem itu sendiri sebelum menyentuh tetapan.scutil --nc status "Name" melaporkan apa yang sistem percaya;ifconfig menunjukkan sama ada antara muka utun mempunyai alamat;netstat -rn -f inet menunjukkan ke mana laluan lalai menunjuk;scutil --dns menunjukkan penyelesai yang benar-benar digunakan. Kemudian buka sambungan baharu dan sahkan alamat keluar, kerana halaman yang sudah log masuk mungkin masih menggunakan soket yang terikat pada terowong lama.
Jika DNS masih menjawab dari rangkaian tempatan, bandingkan pelayan yang dikonfigurasi perkhidmatan dengan senarai penyelesai. Jika laluan lalai masih menunjuk ke antara muka fizikal, perkhidmatan itu terowong terbelah atau belum bersambung sepenuhnya. Kedua-duanya hasil konfigurasi, bukan bukti klien rosak.
Susunan pertukaran yang mengelakkan kejutan
- Catat perkhidmatan semasa dan sama ada profil menguruskannya.
- Putuskannya dahulu apabila kedua-dua terowong tidak boleh wujud bersama.
- Sambungkan sasaran dan tunggu Bersambung, bukan Menyambung.
- Periksa laluan lalai, senarai penyelesai dan alamat keluar baharu.
- Mulakan semula aplikasi yang menyimpan sesi panjang.
Kekalkan entri lama sehingga yang baharu lulus pemeriksaan itu, dan beri setiap entri nama berbeza; label yang sama menyukarkan kegagalan seterusnya dikaitkan. Bantuan Mac Apple menerangkan bahagian asli di Menyediakan sambungan VPN pada Mac, yang menjadi rujukan untuk diperiksa sebelum mengedit konfigurasi terurus.
Jika pilihan kembali, anggap ia sebagai dasar atau On Demand dahulu. Sahkan siapa memiliki konfigurasi dan sama ada ia ditetapkan untuk bersambung automatik, kemudian putuskan sama ada anda menukar perkhidmatan atau bergelut dengan profil.