Macen kobler til VPN på nytt av seg selv: sjekk regelen ved behov

Du kobler fra VPN, og tretti sekunder senere er ikonet i menylinjen tilbake. Ingenting er hjemsøkt: macOS-reglene ved behov starter en tilkobling når nettverket endres, eller når noe spør etter et navn regelen dekker, og regelen kan bo i en profil du aldri har skrevet. Å gå gjennom kontrollene nedenfor i rekkefølge er raskere enn å installere klienten på nytt. Regelen er en policy, så les policyen før du kjemper mot den.

Hva regelen egentlig overvåker

Regelen ved behov har to beslutningspunkter: nettverket Macen er koblet til, og et domene som noe prøver å slå opp. Begge kan reise tunnelen, og derfor starter et oppslag på et internt navn en VPN ingen åpnet. Utrullingen trenger også autentisering som virker uten en person til stede, og derfor dominerer sertifikatbaserte løsninger i administrerte flåter.

Ved siden av systempolicyen kan det finnes et gjenoppkoblingsvalg per app, så det første spørsmålet er hvilken mekanisme som koblet tunnelen til på nytt. Sjekk systempolicyen først, deretter klienten, og først til slutt den som klikket Koble fra. De fleste klientinnstillingene som ser ansvarlige ut, er det ikke. Rekkefølgen betyr noe fordi systempolicyen vinner som standard, og en innstilling på klientnivå kan bare forklare tilfellene policyen ikke dekker.

Hvem eier policyen, og hva koster fjerning

Les den installerte profilen og de støttede klientkontrollene før du endrer noen av dem. Hvis Macen administreres, er betingelsene dokumentert et sted, og å be om det dokumentet er bedre enn å reverse-engineere SSID-er og domener utenfra.

Tillitsmateriale på Macen deles med enhver annen tjeneste som bruker det, så tilbakekalling er det siste trinnet, ikke det første. Fjern profilen som eier regelen, og bekreft deretter at regelen slutter å utløses før du rører et sertifikat. En halvt fjernet profil er nettopp grunnen til at folk konkluderer med at atferden er tilfeldig. De to kommandoene som viser hva som er installert, er verdt å beholde:

profiles show -type configuration
scutil --nc list

Hva gjenoppkobling ikke beviser

Gjenoppkobling ved behov sier ingenting om gapet: mens tunnelen kommer opp, kan trafikk fortsatt gå ut gjennom det fysiske grensesnittet med mindre en egen policy holder den tilbake. Å blokkere før tunnelen finnes er en annen innstilling enn å starte tunnelen. En maskin som kobler raskt til på nytt, kan fortsatt lekke i de første sekundene.

Ruteomfang er det tredje spørsmålet, fordi en regel som starter tunnelen, ikke sier noe om hvilke prefikser den bærer. Bekreft hva tilkoblingen ruter i stedet for å anta at en gjenoppkobling betyr full dekning. Test det med vilje: avslutt klienten, bekreft at tjenesten er stoppet, og be deretter om ressursen regelen skal beskytte.

Noter utløseren, ikke ikonet

Skriv ned hva som reiste tunnelen: å bli med i et nettverk, åpne en app, slå opp et privat navn, våkne fra søvn. Legg merke til når det skjer og ikke bare at det skjedde, fordi sekvensen er beviset. En bestemt utløser er mer verdt enn et skjermbilde av ikonet.

Bekreft deretter ressursen etter at tilkoblingen er oppe. Menylinjen beviser at en tjeneste kjører, ikke at destinasjonen du trenger, er nåbar gjennom den. De to kan sprike av helt alminnelige grunner, blant annet en rute som peker et annet sted.

Når regelen starter feil tilkobling

En tilkobling som starter når den ikke bør, kommer vanligvis fra en utdatert profil, en bredere domenebetingelse enn tiltenkt eller to konfigurasjoner som konkurrerer om samme nettverk. Alle tre er synlige i den installerte konfigurasjonen, og ingen av dem blir klarere av å slå tjenesten av og på.

Ta med utløseren, profileieren og den tiltenkte atferden til den som administrerer policyen. Apples dokumentasjon om ved behov er det felles ordforrådet for den samtalen, og den er kortere enn diskusjonen. Be om en endring av policyen i stedet for en fjerning, og begge parter beholder et oppsett som virker.