Mac-ul tău se reconectează singur la VPN: verifică regula la cerere

Deconectezi VPN-ul și, treizeci de secunde mai târziu, pictograma din bara de meniu este din nou acolo. Nimic nu e bântuit: regulile la cerere din macOS pornesc o conexiune când se schimbă rețeaua sau când ceva cere un nume pe care regula îl acoperă, iar regula poate locui într-un profil pe care nu l-ai scris niciodată. Parcurgerea verificărilor de mai jos în ordine este mai rapidă decât reinstalarea clientului. Regula este o politică, așa că citește politica înainte de a te lupta cu ea.

Ce urmărește de fapt regula

Regula la cerere are două puncte de decizie: rețeaua la care este conectat Mac-ul și un domeniu pe care ceva încearcă să îl rezolve. Oricare dintre ele poate ridica tunelul, de aceea căutarea unui nume intern pornește un VPN pe care nimeni nu l-a deschis. Implementarea are nevoie și de autentificare care funcționează fără o persoană prezentă, de aceea soluțiile bazate pe certificate domină flotele administrate.

Alături de politica sistemului poate exista o opțiune de reconectare pentru fiecare aplicație, așa că prima întrebare este ce mecanism a reconectat tunelul. Verifică mai întâi politica sistemului, apoi clientul și abia la final pe cel care a apăsat Deconectare. Majoritatea preferințelor de client care par responsabile nu sunt. Această ordine contează pentru că politica sistemului câștigă implicit, iar o setare la nivel de client poate explica doar cazurile pe care politica nu le acoperă.

Cui aparține politica și cât costă eliminarea

Citește profilul instalat și controalele de client acceptate înainte de a le schimba pe oricare. Dacă Mac-ul este administrat, condițiile sunt documentate undeva, iar cererea acelui document este mai bună decât inginerie inversă a SSID-urilor și domeniilor din exterior.

Materialul de încredere de pe Mac este partajat cu orice alt serviciu care îl folosește, așa că revocarea este ultimul pas, nu primul. Elimină profilul care deține regula, apoi confirmă că regula nu mai declanșează înainte de a atinge un certificat. Un profil pe jumătate eliminat este exact motivul pentru care oamenii concluzionează că comportamentul este aleatoriu. Cele două comenzi care arată ce este instalat merită păstrate:

profiles show -type configuration
scutil --nc list

Ce nu dovedește reconectarea

Reconectarea la cerere nu spune nimic despre gol: cât timp tunelul urcă, traficul poate ieși în continuare prin interfața fizică dacă o politică separată nu îl reține. Blocarea înainte de a exista tunelul este o setare diferită de pornirea tunelului. O mașină care se reconectează rapid poate scăpa totuși în primele secunde.

Aria rutelor este a treia întrebare, pentru că o regulă care pornește tunelul nu spune nimic despre prefixele pe care le transportă. Confirmă ce rutează conexiunea în loc să presupui că reconectarea înseamnă acoperire completă. Testează deliberat: închide clientul, confirmă că serviciul este oprit, apoi solicită resursa pe care regula ar trebui să o protejeze.

Notează declanșatorul, nu pictograma

Notează ce a ridicat tunelul: alăturarea la o rețea, deschiderea unei aplicații, rezolvarea unui nume privat, trezirea din somn. Observă când se întâmplă, nu doar că s-a întâmplat, pentru că succesiunea este dovada. Un declanșator specific valorează mai mult decât o captură de ecran a pictogramei.

Apoi verifică resursa după ce conexiunea urcă. Bara de meniu dovedește că un serviciu rulează, nu că destinația de care ai nevoie este accesibilă prin el. Cele două pot diverge din motive complet obișnuite, inclusiv o rută care indică altundeva.

Când regula pornește conexiunea greșită

O conexiune care pornește când nu ar trebui vine de obicei dintr-un profil învechit, dintr-o condiție de domeniu mai largă decât s-a intenționat sau din două configurații care concurează pentru aceeași rețea. Toate trei sunt vizibile în configurația instalată, iar niciuna nu devine mai clară prin oprirea și pornirea serviciului.

Du declanșatorul, proprietarul profilului și comportamentul dorit la cel care administrează politica. Documentația Apple despre la cerere este vocabularul comun pentru acea conversație și este mai scurtă decât discuția. Cere o schimbare de politică în loc de o eliminare, iar ambele părți păstrează o configurație funcțională.