Hva som faktisk endres når du bytter lagrede VPN-konfigurasjoner på macOS
Å bytte en lagret Mac-VPN er ikke et profilbytte. Se hva som endres i ruter, DNS og påloggingsinformasjon, og hvordan du bekrefter tunnelen du faktisk fikk.
Du åpner VPN-listen, velger den andre lagrede oppføringen og forventer et rent bytte: en ny utgangsadresse og alt annet uendret. Det er antakelsen du først bør slippe. På macOS er en lagret VPN en full nettverkstjeneste og ikke en forhåndsinnstilling, så bytte av tjenester kan endre ruting, DNS og autentisering samtidig. Menylinjen viser hvilken tjeneste som er aktiv; den sier ikke om tunnelen under samsvarer med det du mente.
Den lagrede listen er ikke en profilvelger
Hver oppføring i Systeminnstillinger > Nettverk er sin egen tjeneste, med egen serveradresse, konto, autentiseringsmetode, DNS-servere og alternativer som Send all trafikk over VPN-tilkoblingen. Eldre versjoner har samme liste i Systemvalg. To oppføringer kan peke på samme vertsnavn og likevel oppføre seg ulikt, fordi protokollen eller klientutvidelsen avgjør hvordan tunnelen bygges.
Tredjepartsklienter har separate lister. Tunnelblick leser konfigurasjoner fra sin egen mappe, WireGuard holder sin egen tunnelliste, og OpenVPN Connect lagrer profiler inne i appen. Noen registrerer en konfigurasjon i systemet; andre holder alt inne i appen og vises aldri i den innebygde listen. «Bytt til den lagrede» betyr derfor ulike handlinger avhengig av hvilken app som eier profilen.
scutil --nc list skriver ut VPN-tjenestene som er registrert i systemkonfigurasjonen, med navnene i anførselstegn. Bruk nøyaktig disse navnene når du skriptlegger et bytte, og ikke anta at listen dekker hver tredjepartstunnel.
Hva et bytte faktisk endrer
Fire ting beveger seg sammen når den aktive tjenesten endres. Standardruten følger den nye tunnelen hvis tjenesten sender all trafikk; resolverlisten endres til DNS-serverne tjenesten angir; nye tilkoblinger tar den nye tunneladressen som kilde; og påloggingsinformasjonen som brukes tilhører den nye tjenesten. En innebygd konfigurasjon og en appprofil kan ikke byttes om hverandre, selv når begge ender ved samme gateway.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
DNS-delen er det som overrasker folk. macOS opprettholder en resolverrekkefølge, og scutil --dns viser hvilke resolvere som er i bruk og på hvilket grensesnitt. En VPN-tjeneste uten konfigurerte DNS-servere kan la Wi-Fi-resolveren svare, slik at du får en ny offentlig adresse med gammel DNS-atferd og konkluderer med at byttet virket halvveis.
Hvorfor den gamle konfigurasjonen kommer tilbake
Hvis du kobler fra og samme tjeneste kobler til igjen et øyeblikk senere, se på On Demand først. En regel for tilkobling på forespørsel kan bringe en tjeneste tilbake når en app løser opp et samsvarende domene, og en administrasjonsprofil kan håndheve samme regel. Å slette oppføringen løser det sjelden: en profilinstallert konfigurasjon kommer vanligvis tilbake ved neste profiloppdatering, og en manuell kan etterlate passordet i Keychain mens tjenesten er borte.
Å starte en andre tjeneste stopper ikke alltid den første. Avhengig av klient og protokoll kan du ende med to tunneler og to sett med ruter, og tjenesterekkefølge pluss rutespesifisitet avgjør hvilken som bærer trafikken, ikke ikonet du klikket på sist. Sjekk grensesnittene før du antar at et bytte har skjedd.
Bekreft tunnelen, ikke hakemerket
Gå gjennom systemets eget bilde før du rører innstillingene.scutil --nc status "Name" rapporterer hva systemet tror;ifconfig viser om et utun-grensesnitt har en adresse;netstat -rn -f inet viser hvor standardruten peker;scutil --dns viser resolveren som faktisk brukes. Åpne deretter en fersk tilkobling og bekreft utgangsadressen, for en side som allerede var innlogget bruker kanskje fortsatt en socket bundet til den gamle tunnelen.
Hvis DNS fortsatt svarer fra det lokale nettverket, sammenlign tjenestens konfigurerte servere med resolverlisten. Hvis standardruten fortsatt peker på det fysiske grensesnittet, er tjenesten delt tunnel eller ikke fullt tilkoblet. Begge er konfigurasjonsresultater, ikke bevis på en ødelagt klient.
En bytterekkefølge som unngår overraskelser
- Noter den gjeldende tjenesten og om en profil styrer den.
- Koble den fra først når de to tunnelene ikke kan eksistere sammen.
- Koble til målet og vent på Tilkoblet, ikke Kobler til.
- Sjekk standardruten, resolverlisten og en fersk utgangsadresse.
- Start apper som holder lange økter på nytt.
Behold den gamle oppføringen til den nye består disse sjekkene, og gi hver oppføring et eget navn; identiske etiketter gjør neste feil vanskeligere å tilskrive. Apples Mac-hjelp beskriver den innebygde siden på Sette opp en VPN-tilkobling på Mac, som er referansen å sjekke før du redigerer en administrert konfigurasjon.
Hvis valget spretter tilbake, behandle det først som policy eller On Demand. Bekreft hvem som eier konfigurasjonen og om den er satt til å koble til automatisk, og avgjør deretter om du bytter en tjeneste eller kjemper mot en profil.