Ваш Mac сам переподключает VPN: проверьте правило «по запросу»

Вы отключаете VPN, и через тридцать секунд значок в строке меню снова на месте. Ничего мистического: правила macOS «по запросу» запускают подключение, когда меняется сеть или когда что-то запрашивает имя, которое покрывает правило, и правило может жить в профиле, который вы никогда не писали. Пройти проверки ниже по порядку быстрее, чем переустановить клиент. Правило — это политика, поэтому прочитайте политику, прежде чем бороться с ней.

За чем правило на самом деле следит

У правила «по запросу» две точки решения: сеть, к которой подключён Mac, и домен, который что-то пытается разрешить. Любая из них может поднять туннель, поэтому поиск внутреннего имени запускает VPN, которую никто не открывал. Развёртыванию также нужна аутентификация, работающая без присутствия человека, поэтому в управляемых парках преобладают схемы на сертификатах.

Рядом с системной политикой может существовать параметр переподключения для каждого приложения, поэтому первый вопрос — какой механизм переподключил туннель. Сначала проверьте системную политику, затем клиент и только потом того, кто нажал «Отключить». Большинство клиентских настроек, которые выглядят ответственными, такими не являются. Этот порядок важен, потому что системная политика побеждает по умолчанию, а настройка на уровне клиента может объяснить только те случаи, которые политика не покрывает.

Кому принадлежит политика и сколько стоит удаление

Прочитайте установленный профиль и поддерживаемые элементы управления клиента, прежде чем менять любой из них. Если Mac управляется, условия где-то задокументированы, и запросить этот документ лучше, чем обратной инженерией вытаскивать SSID и домены снаружи.

Материал доверия на Mac общий для всех остальных служб, которые им пользуются, поэтому отзыв — последний шаг, а не первый. Удалите профиль, которому принадлежит правило, затем убедитесь, что правило перестало срабатывать, прежде чем трогать сертификат. Наполовину удалённый профиль — это ровно то, из-за чего люди делают вывод, что поведение случайно. Две команды, которые показывают, что установлено, стоит сохранить:

profiles show -type configuration
scutil --nc list

Чего переподключение не доказывает

Переподключение по запросу ничего не говорит о разрыве: пока туннель поднимается, трафик всё ещё может уходить через физический интерфейс, если отдельная политика его не удерживает. Блокировка до появления туннеля — это другая настройка, чем запуск туннеля. Машина, которая быстро переподключается, всё равно может утечь в первые секунды.

Охват маршрутов — третий вопрос, потому что правило, запускающее туннель, ничего не говорит о префиксах, которые он несёт. Убедитесь, что именно маршрутизирует соединение, вместо того чтобы предполагать, что переподключение означает полное покрытие. Проверьте это намеренно: закройте клиент, убедитесь, что служба остановлена, затем запросите ресурс, который правило должно защищать.

Записывайте триггер, а не значок

Запишите, что подняло туннель: подключение к сети, открытие приложения, разрешение частного имени, пробуждение ото сна. Обратите внимание, когда это происходит, а не только что произошло, потому что последовательность и есть доказательство. Конкретный триггер ценнее скриншота значка.

Затем проверьте ресурс после того, как соединение поднимется. Строка меню доказывает, что служба работает, а не что нужный вам адрес доступен через неё. Эти две вещи могут разойтись по совершенно обычным причинам, включая маршрут, ведущий в другое место.

Когда правило запускает не то соединение

Соединение, которое начинается, когда не должно, обычно происходит из устаревшего профиля, более широкого, чем задумано, условия домена или двух конфигураций, конкурирующих за одну и ту же сеть. Все три видны в установленной конфигурации, и ни одно из них не проясняется отключением и включением службы.

Принесите триггер, владельца профиля и предполагаемое поведение тому, кто управляет политикой. Документация Apple о работе по запросу — это общий словарь для такого разговора, и она короче спора. Просите изменить политику, а не удалить её, и обе стороны сохранят работающую настройку.