Wyłącz Maca po pracy przez VPN, a nie przed nią

Dwie osoby wyłączają tego samego Maca po pracy i dostają różne wyniki. Jedna traci wysyłanie ukończone w dziewięćdziesięciu procentach; druga zamyka pokrywę dwadzieścia sekund później, gdy wszystko jest zapisane. Różnicą nie jest szczęście ani szybkość dysku. Jest nią kolejność, w jakiej zamykają sesję prywatną, udział i tunel, oraz to, czy coś czeka na zakończenie tych kroków.

Poniższe porównanie dotyczy „tunelu najpierw” i „pracy najpierw”, bo ten jeden wybór wyjaśnia większość złych wyników.

Dwie kolejności wyłączania, dwa wyniki

Tunel najpierw wygląda schludnie: menu VPN mówi Rozłącz, ikona znika, a potem użytkownik zamyka dokumenty i wyłącza komputer. Problem w tym, że rozłączenie może usunąć trasy i zamontowany udział, zanim aplikacja skończy zapisywać, a wysyłanie w toku nie ma już gdzie trafić. Użytkownik widzi czyste rozłączenie i zakłada, że reszta jest bezpieczna. Zniknięcie ikony nic nie mówi o tym, czy aplikacja skończyła. Wyłączenie przebiega potem normalnie przez ścieżkę sieciową, która nie przenosi już ruchu potrzebnego aplikacji.

Praca najpierw jest o kilka sekund wolniejsza i znacznie mniej burzliwa. Operacja prywatna się kończy, udział zostaje świadomie odmontowany, i dopiero wtedy znika tunel. Następne wyłączenie nie ma już czego przerywać.

Dlaczego udział musi zniknąć przed tunelem

Zamontowany udział sieciowy to żywa zależność, nie folder. Klient trzyma otwarte uchwyty, serwer śledzi dzierżawy, a zapis, który wciąż czeka w kolejce, należy do tej sesji. Wyrwanie spodu, czyli tunelu, daje klasyczne nieaktualne montowanie: Finder pokazuje udział, każdy dostęp się zawiesza, a jedynym lekarstwem jest wymuszone odmontowanie, a czasem wylogowanie.

Odmontuj za pomocą obsługiwanej czynności, gdy aktywność plików ustała. W macOS to przycisk wysunięcia w Finderze albo świadome diskutil unmount dla punktu montowania, a nie rozłączenie sieci pod spodem. Potem potwierdź w pasku bocznym, że udziału nie ma, zanim dotkniesz VPN.

Jeśli udział odmawia odmontowania, coś wciąż trzyma plik otwarty. Znajdź to, zamknij i spróbuj ponownie. Odmowa jest informacją; wymuszone odmontowanie zamienia ją w utratę danych.

Zatrzymaj klienta, do którego należy sesja

Sesja VPN ma właściciela i tylko ten właściciel może ją czysto zatrzymać. Połączenia Tunnelblick zatrzymuje się przez Tunnelblick. Konfigurację natywną zatrzymuje się przez sterowanie samego systemu lub aplikację, która nią zarządza. Uruchomienie osobnego pliku binarnego OpenVPN na profilu o podobnej nazwie nie zatrzymuje sesji zarządzanej przez aplikację i może zostawić dwa procesy niezgadzające się co do tego, kto włada urządzeniem tunelu.

Uważaj na automatyczne odtwarzanie. Reguła On Demand lub profil zarządzany może uruchomić połączenie ponownie kilka sekund po świadomym zatrzymaniu, co wygląda, jakby klient ignorował polecenie. To zachowanie jest polityką, nie błędem, i trzeba je rozstrzygnąć z właścicielem polityki, a nie zwalczać pomocnikiem, który ciągle się rozłącza.

Niektórzy klienci rozdzielają „żądanie rozłączenia” od „zakończenia demontażu”. Jeśli przepływ czeka na zakończenie, odczytaj własny stan klienta i wyznacz mu ograniczony termin. Dowolne odczekanie sekundy nie jest czekaniem, a zabijanie każdego procesu o nazwie przypominającej VPN nie jest demontażem.

Zostaw w spokoju wyłączanie systemu operacyjnego

Ostatnim krokiem powinno być zwykłe wyłączenie: menu Apple, skrót klawiszowy lub zaplanowane polecenie shutdown. Ta ścieżka pozwala aplikacjom zapisać dane, pyta użytkownika o niezapisane rzeczy i odmontowuje wolumeny w oczekiwanej kolejności. To także ścieżka, której błędy są raportowane w sposób, który ktoś może zdiagnozować.

Wymuszenie odcięcia zasilania pomija to wszystko. To właściwe narzędzie, gdy komputer naprawdę się zablokował, i niewłaściwe jako rutynowy sposób dotrzymania terminu. Wymuszone wyłączenie, które wyrzuca wysyłanie, nie jest szybsze niż czekanie; przenosi tylko koszt na następny ranek.

Wskazówki Apple dotyczące wyłączania wyznaczają tę granicę i osobno opisują przypadek wymuszony. Czytaj je jako powód, by naprawić kolejność, a nie jako pozwolenie na uczynienie wymuszonego zamykania częścią codziennej rutyny.

Wbuduj termin w plan

Jeśli Mac musi być wyłączony o stałej godzinie, rozpocznij przygotowania, gdy sesja użytkownika jeszcze żyje. Czekanie do ostatniej chwili z porządkami to sposób, w jaki monit MFA, niedokończony zapis albo uparty montowanie stają się incydentem. Daj sekwencji czas rozpoczęcia, nie tylko zakończenia.

Zdecyduj, co się dzieje, gdy krok przekroczy budżet. Opcje to powiadomienie użytkownika, anulowanie wyłączenia albo inna zatwierdzona procedura. Ciche eskalowanie „porządki trwały zbyt długo” do wymuszonego wyłączenia to jedna opcja, która gwarantuje wynik, którego wszyscy próbowali uniknąć.

Zapisana zasada jest krótka: dokończ pracę prywatną, zamknij zależną sesję, zatrzymaj tunel przez jego właściciela, a potem wyłącz normalnie. Cztery kroki w tej kolejności, z terminem przy każdym.