Ce se schimbă cu adevărat când schimbi configurații VPN salvate pe macOS
Schimbarea unui VPN Mac salvat nu este un schimb de profil. Vezi ce se schimbă în rute, DNS și date de autentificare și cum verifici tunelul pe care chiar l-ai obținut.
Deschizi lista VPN, alegi cealaltă intrare salvată și aștepți o schimbare curată: o adresă de ieșire nouă și tot restul neschimbat. Aceasta este presupunerea de care trebuie să scapi prima. Pe macOS, un VPN salvat este un serviciu de rețea complet, nu o presetare, așa că schimbarea serviciilor poate modifica simultan rutarea, DNS-ul și autentificarea. Bara de meniu arată ce serviciu este activ; nu spune dacă tunelul de dedesubt corespunde intenției tale.
Lista salvată nu este un selector de profiluri
Fiecare intrare din Setări de sistem > Rețea este un serviciu separat, cu adresa proprie de server, cont, metodă de autentificare, servere DNS și opțiuni precum Trimite tot traficul prin conexiunea VPN. Versiunile mai vechi păstrează aceeași listă în Preferințe de sistem. Două intrări pot indica același nume de gazdă și totuși se pot comporta diferit, pentru că protocolul sau extensia clientului decide cum este construit tunelul.
Clienții terți păstrează liste separate. Tunnelblick citește configurații din propriul folder, WireGuard își ține propria listă de tuneluri, iar OpenVPN Connect stochează profiluri în aplicație. Unii înregistrează configurația în sistem; alții țin totul în aplicație și nu apar niciodată în lista integrată. Așadar „comută pe cea salvată” înseamnă acțiuni diferite în funcție de aplicația care deține profilul.
scutil --nc list afișează serviciile VPN înregistrate în configurația sistemului, cu numele între ghilimele. Folosește exact aceste nume când scriptezi o schimbare și nu presupune că lista acoperă fiecare tunel terț.
Ce schimbă cu adevărat o comutare
Patru lucruri se mișcă împreună când serviciul activ se schimbă. Ruta implicită urmează tunelul nou dacă serviciul trimite tot traficul; lista de resolvere se schimbă cu serverele DNS indicate de serviciu; conexiunile noi iau adresa noului tunel ca sursă; iar datele de autentificare folosite aparțin noului serviciu. O configurație nativă și un profil de aplicație nu sunt interschimbabile, chiar dacă ambele se termină la aceeași poartă.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
Partea cu DNS este cea care surprinde lumea. macOS păstrează o ordine a resolvelor, iar scutil --dns arată ce resolvere sunt folosite și pe ce interfață. Un serviciu VPN fără servere DNS configurate poate lăsa resolverul Wi-Fi să răspundă, așa că obții o adresă publică nouă cu comportamentul DNS vechi și concluzi că schimbarea a funcționat pe jumătate.
De ce revine configurația veche
Dacă te deconectezi și același serviciu se reconectează o clipă mai târziu, uită-te mai întâi la On Demand. O regulă de conectare la cerere poate readuce un serviciu când o aplicație rezolvă un domeniu potrivit, iar un profil de administrare poate impune aceeași regulă. Ștergerea intrării rezolvă rar: o configurație instalată prin profil revine de obicei la următoarea actualizare a profilului, iar una manuală poate lăsa parola în Keychain în timp ce serviciul a dispărut.
Pornirea unui al doilea serviciu nu îl oprește mereu pe primul. În funcție de client și protocol, poți rămâne cu două tuneluri și două seturi de rute, iar ordinea serviciilor plus specificitatea rutei decid care duce traficul, nu pictograma pe care ai apăsat ultima. Verifică interfețele înainte de a presupune că a avut loc o schimbare.
Verifică tunelul, nu bifa
Parcurge vederea sistemului însuși înainte de a atinge setările.scutil --nc status "Name" raportează ce crede sistemul;ifconfig arată dacă o interfață utun are adresă;netstat -rn -f inet arată încotro indică ruta implicită;scutil --dns arată resolverul folosit efectiv. Apoi deschide o conexiune nouă și confirmă adresa de ieșire, pentru că o pagină deja autentificată poate folosi încă un socket legat de tunelul vechi.
Dacă DNS-ul încă răspunde din rețeaua locală, compară serverele configurate ale serviciului cu lista de resolvere. Dacă ruta implicită încă indică interfața fizică, serviciul este cu tunel divizat sau nu este complet conectat. Ambele sunt rezultate ale configurației, nu dovada unui client defect.
O ordine de comutare fără surprize
- Notează serviciul curent și dacă un profil îl administrează.
- Deconectează-l mai întâi când cele două tuneluri nu pot coexista.
- Conectează ținta și așteaptă Conectat, nu Se conectează.
- Verifică ruta implicită, lista de resolvere și o adresă de ieșire nouă.
- Repornește aplicațiile care țin sesiuni lungi.
Păstrează intrarea veche până când cea nouă trece aceste verificări și dă fiecărei intrări un nume distinct; etichetele identice fac următoarea defecțiune mai greu de atribuit. Ajutorul Mac de la Apple descrie partea nativă la Configurarea unei conexiuni VPN pe Mac, care este referința de consultat înainte de a edita o configurație administrată.
Dacă selecția revine, tratează-o mai întâi ca politică sau On Demand. Confirmă cine deține configurația și dacă este setată să se conecteze automat, apoi decide dacă schimbi un serviciu sau te lupți cu un profil.