Twój Mac sam łączy się ponownie z VPN: sprawdź regułę na żądanie

Rozłączasz VPN, a trzydzieści sekund później ikona w pasku menu znów jest na miejscu. Nic tu nie straszy: reguły na żądanie w macOS rozpoczynają połączenie, gdy zmienia się sieć albo gdy coś pyta o nazwę, którą reguła obejmuje, a reguła może mieszkać w profilu, którego nigdy nie napisałeś. Przejście przez poniższe kontrole po kolei jest szybsze niż ponowna instalacja klienta. Reguła jest polityką, więc przeczytaj politykę, zanim zaczniesz z nią walczyć.

Czego reguła naprawdę pilnuje

Reguła na żądanie ma dwa punkty decyzyjne: sieć, do której podłączony jest Mac, oraz domenę, którą coś próbuje rozwiązać. Każdy z nich może podnieść tunel, dlatego wyszukanie wewnętrznej nazwy uruchamia VPN, którego nikt nie otworzył. Wdrożenie potrzebuje też uwierzytelniania działającego bez obecnej osoby, dlatego we flotach zarządzanych dominują rozwiązania oparte na certyfikatach.

Obok polityki systemowej może istnieć opcja ponownego łączenia dla każdej aplikacji, więc pierwsze pytanie brzmi który mechanizm ponownie połączył tunel. Sprawdź najpierw politykę systemową, potem klienta, a na końcu tego, kto kliknął Rozłącz. Większość preferencji klienta, które wyglądają na odpowiedzialne, taka nie jest. Ta kolejność ma znaczenie, bo polityka systemowa wygrywa domyślnie, a ustawienie na poziomie klienta może wyjaśnić tylko te przypadki, których polityka nie obejmuje.

Do kogo należy polityka i ile kosztuje usunięcie

Przeczytaj zainstalowany profil i obsługiwane elementy sterujące klienta, zanim zmienisz którykolwiek z nich. Jeśli Mac jest zarządzany, warunki są gdzieś udokumentowane, a poproszenie o ten dokument jest lepsze niż inżynieria wsteczna SSID-ów i domen z zewnątrz.

Materiał zaufania na Macu jest współdzielony z każdą inną usługą, która go używa, więc unieważnienie jest ostatnim krokiem, a nie pierwszym. Usuń profil, do którego należy reguła, a następnie potwierdź, że reguła przestaje się uruchamiać, zanim dotkniesz certyfikatu. Na wpół usunięty profil to dokładnie powód, dla którego ludzie uznają, że zachowanie jest losowe. Dwie komendy pokazujące, co jest zainstalowane, warto zachować:

profiles show -type configuration
scutil --nc list

Czego ponowne połączenie nie dowodzi

Ponowne łączenie na żądanie nic nie mówi o luce: gdy tunel się podnosi, ruch nadal może wychodzić przez interfejs fizyczny, chyba że zatrzyma go osobna polityka. Blokowanie, zanim tunel istnieje, to inne ustawienie niż uruchomienie tunelu. Maszyna, która szybko się ponownie łączy, przez pierwsze sekundy nadal może przeciekać.

Zakres tras to trzecie pytanie, bo reguła uruchamiająca tunel nic nie mówi o prefiksach, które niesie. Potwierdź, co kieruje połączenie, zamiast zakładać, że ponowne połączenie oznacza pełne pokrycie. Sprawdź to celowo: zamknij klienta, potwierdź, że usługa jest zatrzymana, a potem poproś o zasób, który reguła ma chronić.

Zapisz wyzwalacz, nie ikonę

Zapisz, co podniosło tunel: dołączenie do sieci, otwarcie aplikacji, rozwiązanie prywatnej nazwy, wybudzenie ze snu. Zauważ, kiedy to się dzieje, a nie tylko że się stało, bo sekwencja jest dowodem. Konkretny wyzwalacz jest wart więcej niż zrzut ekranu z ikoną.

Potem zweryfikuj zasób, gdy połączenie już się podniesie. Pasek menu dowodzi, że usługa działa, a nie że potrzebny ci cel jest przez nią osiągalny. Te dwie rzeczy mogą się rozjechać z całkiem zwykłych powodów, w tym z powodu trasy prowadzącej gdzie indziej.

Gdy reguła uruchamia niewłaściwe połączenie

Połączenie, które startuje, gdy nie powinno, zwykle pochodzi z przestarzałego profilu, szerszego niż zamierzony warunku domeny albo dwóch konfiguracji konkurujących o tę samą sieć. Wszystkie trzy widać w zainstalowanej konfiguracji i żadna nie staje się jaśniejsza od włączania i wyłączania usługi.

Przynieś wyzwalacz, właściciela profilu i zamierzone zachowanie temu, kto zarządza polityką. Dokumentacja Apple o działaniu na żądanie to wspólny słownik tej rozmowy i jest krótsza niż spór. Poproś o zmianę polityki, a nie o usunięcie, a obie strony zachowają działającą konfigurację.