De dienstenvolgorde van macOS bepaalt uw VPN-routes niet

Iets op een website mislukt, een collega herinnert zich dat dienstenvolgorde bestaat, en Wi-Fi wordt boven Ethernet gesleept. Niets verandert, omdat die lijst nooit heeft bepaald waar een VPN-bestemming heen gaat. Apple geeft VPN-verbindingen voorrang boven gewone en houdt ze buiten die herordening, dus de schakelaar beantwoordt een engere vraag dan de gestelde. De storing vraagt om de gekozen route en de resolver, niet om een nieuwe rangorde.

Wat dienstenvolgorde verandert, en wat ze nooit aanraakt

Zet dienstenvolgorde staat onder Systeeminstellingen, Netwerk, in het Actie-menu, en rangschikt gewone verbindingen wanneer twee of meer actief zijn. Die rangorde kiest de primaire dienst, die de standaardroute en een deel van het resolvergedrag levert. Het is een beslissing tussen gelijken, geen schakelaar voor private bestemmingen achter een tunnel. Een laptop met Wi-Fi en een USB-Ethernet-adapter gebruikt het om een verstandige vraag te beantwoorden, en die vraag gaat niet over de tunnel.

Een VPN-profiel draagt meegenomen routes, uitgesloten bestemmingen en soms regels per app, en die bepalen wat de tunnel in gaat; het volgordemenu bewerkt ze niet. Daarom kan een split-tunnelprofiel openbaar verkeer buiten laten terwijl de VPN nog steeds boven elke fysieke interface staat. Wi-Fi naar boven slepen maakt een privébereik niet bereikbaar en kan een bestemming die het profiel al bevat niet tegenhouden. De lijst verplaatst interfaces; het profiel verplaatst prefixen. Apple documenteert de voorrang op zijn pagina over de volgorde van netwerkdiensten, die het waard is één keer te lezen voordat u iets herordent.

Lees de route die de machine werkelijk koos

Vraag de machine waar een bepaald adres heen gaat met route get 10.20.4.10, en herhaal dat voor IPv6 met route -n get -inet6 2001:db8::10. De twee families zijn aparte beslissingen, dus een werkende IPv4-route zegt niets over de v6, en een rechtstreeks verbonden subnet of een specifieker prefix verslaat hoe dan ook het algemene verbindingslabel, wat precies de reden is dat het label mensen blijft misleiden.

Als de uitvoer de tunnelinterface noemt, heeft het profiel de bestemming gevangen en is de volgorde irrelevant. Als hij de fysieke interface noemt, deed het profiel dat niet, en geen enkele sleepbeweging verandert de prefixtabel. Beide uitvoer noemt ook het bronadres dat de machine zou gebruiken, en dat is het veld dat u moet citeren wanneer u twee runs vergelijkt. Bewaar de uitvoer voordat u iets verandert, want het is het enige bewijs dat u daarna hebt.

DNS lost op per naam, niet per interface

Resolvers met een eigen bereik en domeinspecifieke resolvers betekenen dat het antwoord per naam kan verschillen in plaats van per interface. scutil --dns drukt de resolverconfiguratie af die het systeem werkelijk gebruikt, inclusief vermeldingen met een bereik. De dienstenvolgorde beïnvloedt welke dienst de standaardresolver levert, maar een bereik dat aan een naam is gekoppeld kan alsnog winnen.

Daarom kan een ping naar een adres werken terwijl de hostnaam faalt, of andersom. Lees beide uitvoer voordat u een schuldige aanwijst.

Wijzig het profiel en lees daarna beide uitvoer opnieuw

Wanneer een bestemmingsbeleid moet veranderen, is de eigenaar het VPN-profiel: meegenomen routes, uitgesloten routes en alle split-tunnelregels die de leverancier ondersteunt. Interfaces wijzigen verplaatst alleen de discussie. Op een op afstand beheerde Mac bewaart u eerst de huidige netwerkstatus, want de tunnel verliezen op een machine die u niet kunt bereiken is een reis, geen terugdraaiing.

Reproduceer de storing, lees de route, lees de resolver, verander één ding en lees daarna dezelfde twee uitvoer opnieuw. Meerdere diensten en profielen tegelijk door elkaar halen laat een machine achter die niemand kan uitleggen, ook degene die het repareerde. De test is klaar wanneer beide uitvoer overeenkomen met de wijziging die u bedoelde. Als ze het nog steeds oneens zijn, beschrijven het profiel en de machine twee verschillende beleidsregels, en het profiel is degene die moet veranderen.