Macen din koblar til VPN på nytt av seg sjølv: sjekk regelen ved behov

Du koblar frå VPN, og tretti sekund seinare er ikonet i menylinja tilbake. Ingenting er hjemsøkt: macOS-reglane ved behov startar ei tilkopling når nettet blir endra, eller når noko spør etter eit namn regelen dekkjer, og regelen kan bu i ein profil du aldri har skrive. Å gå gjennom kontrollane nedanfor i rekkjefølgje er raskare enn å installere klienten på nytt. Regelen er ein policy, så les policyen før du kjempar mot han.

Kva regelen eigentleg overvakar

Regelen ved behov har to avgjerds punkt: nettet Macen er kopla til, og eit domene som noko prøver å slå opp. Begge kan reise tunnelen, og difor startar eit oppslag på eit internt namn ein VPN ingen opna. Utrullinga treng òg autentisering som verkar utan ein person til stades, og difor dominerer sertifikatbaserte løysingar i administrerte flåtar.

Ved sida av systempolicyen kan det finnast eit gjenoppkoplingsval per app, så det første spørsmålet er kva mekanisme som kopla tunnelen til på nytt. Sjekk systempolicyen først, deretter klienten, og først til slutt den som klikka Kople frå. Dei fleste klientinnstillingane som ser ansvarlege ut, er det ikkje. Rekkjefølgja betyr noko fordi systempolicyen vinn som standard, og ei innstilling på klientnivå kan berre forklare tilfella policyen ikkje dekkjer.

Kven eig policyen, og kva kostar fjerning

Les den installerte profilen og dei støtta klientkontrollane før du endrar nokon av dei. Viss Macen blir administrert, er vilkåra dokumenterte ein stad, og å be om det dokumentet er betre enn å reverse-engineering SSID-ar og domene utanfrå.

Tillitsmateriale på Macen blir delt med kvar annan teneste som brukar det, så tilbakekalling er det siste steget, ikkje det første. Fjern profilen som eig regelen, og stadfest deretter at regelen sluttar å utløyse før du rører eit sertifikat. Ein halvt fjerna profil er nettopp grunnen til at folk konkluderer med at åtferda er tilfeldig. Dei to kommandoane som viser kva som er installert, er verd å behalde:

profiles show -type configuration
scutil --nc list

Kva gjenoppkopling ikkje bevisar

Gjenoppkopling ved behov seier ingenting om gapet: medan tunnelen kjem opp, kan trafikk framleis gå ut gjennom det fysiske grensesnittet med mindre ein eigen policy held han tilbake. Å blokkere før tunnelen finst er ei anna innstilling enn å starte tunnelen. Ein maskin som koplar raskt til på nytt, kan framleis leke i dei første sekunda.

Ruteomfang er det tredje spørsmålet, fordi ein regel som startar tunnelen, ikkje seier noko om kva prefiks han ber. Stadfest kva tilkoplinga rutar i staden for å anta at gjenoppkopling betyr full dekning. Test det med vilje: avslutt klienten, stadfest at tenesta er stoppa, og be deretter om ressursen regelen skal verne.

Noter utløysaren, ikkje ikonet

Skriv ned kva som reiste tunnelen: å bli med i eit nettverk, opne ein app, slå opp eit privat namn, vakne frå søvn. Legg merke til når det skjer og ikkje berre at det skjedde, fordi sekvensen er beviset. Ein bestemt utløysar er meir verd enn eit skjermbilete av ikonet.

Stadfest deretter ressursen etter at tilkoplinga er oppe. Menylinja bevisar at ei teneste køyrer, ikkje at destinasjonen du treng, er nåbar gjennom henne. Dei to kan sprike av heilt vanlege grunnar, mellom anna ei rute som peikar ein annan stad.

Når regelen startar feil tilkopling

Ei tilkopling som startar når ho ikkje bør, kjem vanlegvis frå ein utdatert profil, eit breiare domeenevilkår enn tenkt eller to konfigurasjonar som konkurrerer om same nettet. Alle tre er synlege i den installerte konfigurasjonen, og ingen av dei blir klarare av å slå tenesta av og på.

Ta med utløysaren, profileigaren og den tenkte åtferda til den som administrerer policyen. Apples dokumentasjon om ved behov er det felles ordtilet for den samtalen, og han er kortare enn diskusjonen. Be om ei endring av policyen i staden for ei fjerning, og begge partar held eit oppsett som verkar.