Mac VPN-status: sjekk profilen, ressursen eller flyten

Noen spør om VPN-en er oppe, og tre forskjellige mennesker mener tre forskjellige ting med det. En operatør mener at Office-profilen har fullført autentiseringen. En planlegger mener at det private API-et vil svare. En sikkerhetsgjennomgang mener at nettopp denne forespørselen gikk ut gjennom den beskyttede veien. Et skript som grep-er rutetabellen etter et grensesnittnavn, svarer ikke pålitelig på noen av dem.

Så sjekklisten begynner før noen kommando kjøres: navngi subjektet for sjekken. Alt etterpå er å velge grensesnittet som faktisk kan rapportere det.

Navngi subjektet før kommandoen

Skriv spørsmålet som et predikat med et subjekt. «Er Office-profilen tilkoblet» er testbart og har en eier som kan svare. «Kan denne jobben nå det interne API-et» er et andre predikat med en annen feilmodus. «Bruker denne forespørselen den beskyttede veien» er et tredje, og det er det eneste som handler om én enkelt flyt og ikke om hele maskinen.

Å blande dem gir automatisering som lyver selvsikkert. En jobb som sjekker profiltilstanden og deretter antar at API-et er klart, varsler noen på feil lag, og en jobb som pinger API-et og kaller det bevis på en tunnel, kan ikke skille en fungerende VPN fra en bærbar PC som tilfeldigvis er på kontornettet.

Én profil: spør det som eier den

For en innebygd Mac-tjeneste rapporterer nettverkstilkoblingskontrollene i scutil nettopp dette. De leser tilstanden til en navngitt konfigurasjon i stedet for å utlede noe fra et grensesnitt.

scutil --nc list
scutil --nc status "Office VPN"

Profilnavnet i den kommandoen må være det ekte fra listeutskriften, ikke en gjetning. Dette er en skrivebeskyttet vei for innebygde tjenester, og det er ingen garanti for at en tredjepartsklient i det hele tatt dukker opp der; en leverandør som administrerer sin egen tunnel, trenger sitt eget støttede statusgrensesnitt. Sjekk listen før du skriver statuskallet, slik at et manglende navn feiler synlig i stedet for stille å matche ingenting.

Inne i en Network Extension-app leser du statusen fra leder- og tilkoblingsobjektene i stedet for fra systemet. Vær forsiktig med omfanget her: innlasting av lagrede konfigurasjoner returnerer bare dem den kallende appen har opprettet, så et tomt resultat betyr «ingen av mine», ikke «ingen VPN på denne Macen». Skill en mislykket spørring fra en bekreftet frakoblet tilstand, og behandle overgangstilstandene som egne utfall i stedet for å prøve på nytt en tilkobling som allerede er på vei opp.

Én jobb: beredskap er et eget predikat

Hvis spørsmålet er om en jobb kan fortsette, tester du jobbens faktiske avhengighet etter at tilkoblingseieren har rapportert den tiltenkte tilstanden. En avgrenset beredskapssjekk mot den private ressursen er den riktige formen: den beviser hva jobben trenger, og ikke noe mer.

Den kan fortsatt ikke bevise at hver forespørsel på maskinen bruker tunnelen, og den bør ikke rapporteres som om den kunne. På samme måte er en ressurs som svarer over det vanlige nettverket, ikke bevis på en VPN, og derfor holder de to sjekkene seg atskilt selv når begge lykkes.

Når jobben virkelig krever en beskyttet vei, trenger det kravet distribusjonens eget håndhevelsesdesign: ruting, split-tunnel-utelukkelser, en brannmurregel eller et krav på applikasjonsnivå. Tilgjengeligheten til et endepunkt er et faktum om en server. Håndhevelse er et faktum om klientens konfigurasjon, og det ene beviser ikke det andre.

Én flyt: undersøk den valgte ruten

For en enkelt flyt ser du på destinasjonen, adressefamilien og kildekonteksten med rutediagnostikken som rapporterer den valgte veien for nettopp den destinasjonen. Den utskriften navngir grensesnittet og kildeadressen som faktisk brukes, noe som er en langt sterkere påstand enn en standardruteoppføring.

Brede nettlesersjekker svarer på et helt annet spørsmål. Et offentlig IP-resultat beskriver hvordan én forespørsel så ut fra én servers synspunkt, og det sier ingenting om privat DNS, utelukkede applikasjoner eller en annen nettverkskontekst som en annen prosess bruker.

Returner et resultat som den kallende kan bruke

Velg en returform som passer til predikatet: en navngitt profiltilstand, en beredskapsdom for ressursen eller en uttrykkelig ukjent med bevisene som skapte den. Behold konfigurasjonsidentiteten og feilårsaken ved siden av dommen.

Nettopp den siste vanen gjør forskjellen mellom automatisering som hjelper, og automatisering som skjuler problemer. «Office VPN: frakoblet, siste forsøk mislyktes i autentiseringen» forteller en operatør hvor de skal se. «VPN-en er nede» inviterer til en reinstallasjon, og «grensesnitt funnet» inviterer til en falsk alt-er-fint.

Network Extension-referansen om innlasting av lagrede tunnelkonfigurasjoner er stedet der du bekrefter omfanget til den kallende appen før du bygger noe på det.