Je Mac verbindt de VPN vanzelf opnieuw: controleer de regel op aanvraag

Je verbreekt de VPN en dertig seconden later staat het pictogram in de menubalk er weer. Niets is hier spookachtig: de regels op aanvraag van macOS starten een verbinding wanneer het netwerk verandert of wanneer iets een naam opvraagt die de regel dekt, en de regel kan in een profiel staan dat je nooit hebt geschreven. De controles hieronder op volgorde doorlopen is sneller dan de client opnieuw installeren. De regel is een beleid, dus lees het beleid voordat je ertegen vecht.

Waar de regel werkelijk op let

De regel op aanvraag heeft twee beslispunten: het netwerk waar de Mac aan hangt, en een domein dat iets probeert op te lossen. Elk van beide kan de tunnel omhoog brengen, en daarom start het opzoeken van een interne naam een VPN die niemand heeft geopend. De uitrol heeft ook authenticatie nodig die zonder aanwezige persoon werkt, en daarom domineren op certificaten gebaseerde oplossingen in beheerde parken.

Naast het systeembeleid kan er een herverbindingsoptie per app bestaan, dus de eerste vraag is welk mechanisme de tunnel opnieuw heeft verbonden. Controleer eerst het systeembeleid, dan de client en pas daarna wie op Verbinden verbreken heeft geklikt. De meeste clientvoorkeuren die verantwoordelijk lijken, zijn dat niet. Die volgorde telt omdat het systeembeleid standaard wint, en een instelling op clientniveau alleen de gevallen kan verklaren die het beleid niet dekt.

Van wie is het beleid, en wat kost verwijderen

Lees het geïnstalleerde profiel en de ondersteunde clientbesturingselementen voordat je een van beide wijzigt. Wordt de Mac beheerd, dan zijn de voorwaarden ergens gedocumenteerd, en om dat document vragen is beter dan SSID’s en domeinen van buitenaf reverse-engineeren.

Vertrouwensmateriaal op de Mac wordt gedeeld met elke andere dienst die het gebruikt, dus intrekken is de laatste stap en niet de eerste. Verwijder het profiel dat de regel bezit en bevestig daarna dat de regel niet meer afgaat voordat je een certificaat aanraakt. Een half verwijderd profiel is precies de reden waarom mensen concluderen dat het gedrag willekeurig is. De twee opdrachten die laten zien wat er geïnstalleerd is, zijn het waard om te bewaren:

profiles show -type configuration
scutil --nc list

Wat opnieuw verbinden niet bewijst

Opnieuw verbinden op aanvraag zegt niets over het gat: terwijl de tunnel opkomt, kan verkeer nog steeds via de fysieke interface naar buiten gaan, tenzij een apart beleid het tegenhoudt. Blokkeren voordat de tunnel bestaat is een andere instelling dan de tunnel starten. Een machine die snel opnieuw verbindt, kan in de eerste seconden alsnog lekken.

Routebereik is een derde vraag, want een regel die de tunnel start, zegt niets over de prefixes die hij draagt. Bevestig wat de verbinding routeert in plaats van aan te nemen dat opnieuw verbinden volledige dekking betekent. Test het bewust: sluit de client af, bevestig dat de dienst gestopt is en vraag dan de resource op die de regel moet beschermen.

Noteer de trigger, niet het pictogram

Schrijf op wat de tunnel omhoog bracht: verbinden met een netwerk, een app openen, een privénaam oplossen, wakker worden uit slaap. Let op wanneer het gebeurt en niet alleen dat het gebeurde, want de volgorde is het bewijs. Een specifieke trigger is meer waard dan een schermafbeelding van het pictogram.

Controleer daarna de resource nadat de verbinding omhoog is. De menubalk bewijst dat een dienst draait, niet dat de bestemming die je nodig hebt erdoor bereikbaar is. Die twee kunnen om heel gewone redenen uiteenlopen, waaronder een route die ergens anders heen wijst.

Wanneer de regel de verkeerde verbinding start

Een verbinding die start wanneer dat niet zou moeten, komt meestal van een verouderd profiel, een bredere domeinvoorwaarde dan bedoeld of twee configuraties die om hetzelfde netwerk strijden. Alle drie zijn zichtbaar in de geïnstalleerde configuratie, en geen ervan wordt duidelijker door de dienst aan en uit te zetten.

Breng de trigger, de profieleigenaar en het bedoelde gedrag naar wie het beleid beheert. Apple’s documentatie over op aanvraag is het gedeelde vocabulaire voor dat gesprek, en het is korter dan de discussie. Vraag om een beleidswijziging in plaats van een verwijdering, en beide kanten houden een werkende opzet.