Kva som faktisk blir endra når du byter lagra VPN-konfigurasjonar på macOS
Å byta ein lagra Mac-VPN er ikkje eit profilbytte. Sjå kva som blir endra i ruter, DNS og innloggingsinformasjon, og korleis du stadfester tunnelen du faktisk fekk.
Du opnar VPN-lista, vel den andre lagra oppføringa og ventar eit reint bytte: ei ny utgangsadresse og alt anna uendra. Det er føresetnaden du først bør sleppe. På macOS er ein lagra VPN ein full nettverksteneste og ikkje ei førehandsinnstilling, så bytte av tenester kan endre ruting, DNS og autentisering samstundes. Menylinja viser kva teneste som er aktiv; ho seier ikkje om tunnelen under svarar til det du meinte.
Den lagra lista er ikkje ein profilveljar
Kvar oppføring i Systeminnstillingar > Nettverk er si eiga teneste, med eiga serveradresse, konto, autentiseringsmetode, DNS-tenarar og val som Send all trafikk over VPN-tilkoplinga. Eldre versjonar har same lista i Systemval. To oppføringar kan peike på same vertsnamn og likevel oppføre seg ulikt, fordi protokollen eller klientutvidinga avgjer korleis tunnelen blir bygd.
Tredjepartsklientar har eigne lister. Tunnelblick les konfigurasjonar frå si eiga mappe, WireGuard held si eiga tunnelliste, og OpenVPN Connect lagrar profilar inne i appen. Nokre registrerer ein konfigurasjon i systemet; andre held alt inne i appen og blir aldri synlege i den innebygde lista. «Byt til den lagra» tyder difor ulike handlingar avhengig av kva app som eig profilen.
scutil --nc list skriv ut VPN-tenestene som er registrerte i systemkonfigurasjonen, med namna i hermeteikn. Bruk nøyaktig desse namna når du skriptar eit bytte, og ikkje rekn med at lista dekkjer kvar tredjepartstunnel.
Kva eit bytte faktisk endrar
Fire ting flyttar seg saman når den aktive tenesta blir endra. Standardruta følgjer den nye tunnelen dersom tenesta sender all trafikk; leysarlista blir endra til DNS-tenarane tenesta oppgir; nye tilkoplingar tek den nye tunneladressa som kjelde; og innloggingsinformasjonen som blir brukt, høyrer til den nye tenesta. Ein innebygd konfigurasjon og ein appprofil kan ikkje bytast om, sjølv når båe endar ved same gateway.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
DNS-delen er det som overraskar folk. macOS held på ein leysarrekkjefølgje, og scutil --dns viser kva leysarar som er i bruk og på kva grensesnitt. Ei VPN-teneste utan konfigurerte DNS-tenarar kan la Wi-Fi-leysaren svare, slik at du får ei ny offentleg adresse med gamal DNS-åtferd og konkluderer med at byttet verka halvvegs.
Kvifor den gamle konfigurasjonen kjem tilbake
Viss du koplar frå og same tenesta koplar til att eit augneblink seinare, sjå på On Demand først. Ei regel for tilkopling på førespurnad kan bringe ei teneste tilbake når ein app løyser eit samsvarande domene, og ein administrasjonsprofil kan handheve same regelen. Å sletta oppføringa løyser det sjeldan: ein profilinstallert konfigurasjon kjem vanlegvis tilbake ved neste profiloppdatering, og ein manuell kan etterlate passordet i Keychain medan tenesta er borte.
Å starte ei andre teneste stoppar ikkje alltid den første. Avhengig av klient og protokoll kan du ende med to tunnelar og to sett med ruter, og tenesterekkjefølgje pluss rutespesifisitet avgjer kva som ber trafikken, ikkje ikonet du klikka på sist. Sjekk grensesnitta før du rekn med at eit bytte har skjedd.
Stadfest tunnelen, ikkje hakemerket
Gå gjennom systemet sitt eige bilete før du rører innstillingane.scutil --nc status "Name" rapporterer kva systemet trur;ifconfig viser om eit utun-grensesnitt har ei adresse;netstat -rn -f inet viser kvar standardruta peikar;scutil --dns viser leysaren som faktisk blir brukt. Opne deretter ei fersk tilkopling og stadfest utgangsadressa, for ei side som allereie var innlogga brukar kanskje framleis ein socket bunden til den gamle tunnelen.
Viss DNS framleis svarar frå det lokale nettet, samanlikn dei konfigurerte tenarane til tenesta med leysarlista. Viss standardruta framleis peikar på det fysiske grensesnittet, er tenesta delt tunnel eller ikkje fullt tilkopla. Båe er konfigurasjonsresultat, ikkje prov på ein øydelagd klient.
Ein bytterekkjefølgje som unngår overraskingar
- Noter den gjeldande tenesta og om ein profil styrer henne.
- Kopla henne frå først når dei to tunnelane ikkje kan eksistere saman.
- Kopla til målet og vent på Tilkopla, ikkje Koplar til.
- Sjekk standardruta, leysarlista og ei fersk utgangsadresse.
- Start apper som held lange økter på nytt.
Behald den gamle oppføringa til den nye står gjennom desse sjekkane, og gi kvar oppføring eit eige namn; like etikettar gjer neste feil vanskelegare å tilskrive. Apples Mac-hjelp skildrar den innebygde sida på Setje opp ei VPN-tilkopling på Mac, som er referansen å sjekke før du redigerer ein administrert konfigurasjon.
Viss valet sprett tilbake, handsam det først som policy eller On Demand. Stadfest kven som eig konfigurasjonen og om han er sett til å kopla til automatisk, og avgjer deretter om du byter ei teneste eller kjempar mot ein profil.