O seu Mac volta a ligar-se à VPN sozinho: verifique a regra a pedido

Desliga a VPN e, trinta segundos depois, o ícone na barra de menus está de volta. Nada está assombrado: as regras a pedido do macOS iniciam uma ligação quando a rede muda ou quando algo pede um nome que a regra abrange, e a regra pode viver num perfil que nunca escreveu. Percorrer as verificações abaixo por ordem é mais rápido do que reinstalar o cliente. A regra é uma política, por isso leia a política antes de lutar contra ela.

O que a regra vigia realmente

A regra a pedido tem dois pontos de decisão: a rede a que o Mac está ligado, e um domínio que algo está a tentar resolver. Qualquer um deles pode levantar o túnel, e é por isso que procurar um nome interno inicia uma VPN que ninguém abriu. A implementação também precisa de autenticação que funcione sem uma pessoa presente, e é por isso que os esquemas baseados em certificados dominam as frotas geridas.

Ao lado da política do sistema pode existir uma opção de religação por aplicação, por isso a primeira pergunta é que mecanismo religou o túnel. Verifique primeiro a política do sistema, depois o cliente e só no fim quem clicou em Desligar. A maioria das preferências do cliente que parecem responsáveis não o são. Essa ordem importa porque a política do sistema ganha por predefinição, e uma definição ao nível do cliente só pode explicar os casos que a política não abrange.

De quem é a política e quanto custa removê-la

Leia o perfil instalado e os controlos de cliente suportados antes de alterar qualquer um deles. Se o Mac for gerido, as condições estão documentadas em algum lugar, e pedir esse documento é melhor do que fazer engenharia inversa de SSID e domínios a partir de fora.

O material de confiança no Mac é partilhado com todos os outros serviços que o usam, por isso a revogação é o último passo e não o primeiro. Remova o perfil que detém a regra e depois confirme que a regra deixa de disparar antes de tocar num certificado. Um perfil meio removido é exatamente a razão pela qual as pessoas concluem que o comportamento é aleatório. Os dois comandos que mostram o que está instalado vale a pena guardar:

profiles show -type configuration
scutil --nc list

O que a religação não prova

A religação a pedido não diz nada sobre a falha: enquanto o túnel sobe, o tráfego ainda pode sair pela interface física a menos que uma política separada o retenha. Bloquear antes de o túnel existir é uma definição diferente de iniciar o túnel. Uma máquina que se religa rapidamente ainda pode vazar nos primeiros segundos.

O âmbito das rotas é a terceira pergunta, porque uma regra que inicia o túnel não diz nada sobre os prefixos que transporta. Confirme o que a ligação encaminha em vez de assumir que uma religação significa cobertura total. Teste-o deliberadamente: feche o cliente, confirme que o serviço está parado e depois peça o recurso que a regra deve proteger.

Registe o gatilho, não o ícone

Anote o que levantou o túnel: juntar-se a uma rede, abrir uma aplicação, resolver um nome privado, acordar do sono. Repare quando acontece e não apenas que aconteceu, porque a sequência é a prova. Um gatilho específico vale mais do que uma captura de ecrã do ícone.

Depois verifique o recurso após a ligação subir. A barra de menus prova que um serviço está a correr, não que o destino de que precisa seja alcançável através dele. Os dois podem divergir por razões completamente comuns, incluindo uma rota que aponta para outro sítio.

Quando a regra inicia a ligação errada

Uma ligação que começa quando não devia vem normalmente de um perfil obsoleto, de uma condição de domínio mais ampla do que o pretendido ou de duas configurações a competir pela mesma rede. As três são visíveis na configuração instalada, e nenhuma fica mais clara ao ligar e desligar o serviço.

Leve o gatilho, o dono do perfil e o comportamento pretendido a quem gere a política. A documentação da Apple sobre a pedido é o vocabulário comum para essa conversa, e é mais curta do que a discussão. Peça uma alteração de política em vez de uma remoção, e ambos os lados mantêm uma configuração que funciona.