Šta se zaista mijenja kada promijenite sačuvane VPN konfiguracije na macOS-u
Promjena sačuvanog Mac VPN-a nije zamjena profila. Pogledajte šta se mijenja u rutama, DNS-u i akreditivima i kako provjeriti tunel koji ste zaista dobili.
Otvorite listu VPN-a, izaberete drugi sačuvani unos i očekujete čistu zamjenu: novu izlaznu adresu i sve ostalo nepromijenjeno. Tu pretpostavku treba prvo odbaciti. Na macOS-u je sačuvani VPN puna mrežna usluga, a ne unaprijed podešeni profil, pa promjena usluga može istovremeno promijeniti rutiranje, DNS i autentifikaciju. Traka menija pokazuje koja je usluga aktivna; ne pokazuje da li tunel ispod odgovara vašoj namjeri.
Sačuvana lista nije birač profila
Svaki unos u Sistemskim postavkama > Mreža je zasebna usluga, s vlastitom adresom servera, računom, metodom autentifikacije, DNS serverima i opcijama kao što je Slanje cjelokupnog saobraćaja kroz VPN vezu. Starija izdanja drže istu listu u Sistemskim preferencijama. Dva unosa mogu pokazivati na isto ime hosta i ipak se ponašati različito, jer protokol ili ekstenzija klijenta odlučuje kako se tunel gradi.
Klijenti trećih strana drže odvojene liste. Tunnelblick čita konfiguracije iz vlastite mape, WireGuard drži svoju listu tunela, a OpenVPN Connect čuva profile unutar aplikacije. Neki registruju konfiguraciju u sistemu; drugi drže sve unutar aplikacije i nikad se ne pojavljuju na ugrađenoj listi. Zato „prebaci na sačuvano“ znači različite radnje zavisno od toga koja aplikacija posjeduje profil.
scutil --nc list ispisuje VPN usluge registrovane u sistemskoj konfiguraciji, s imenima pod navodnicima. Koristite ta tačna imena kada skriptujete promjenu i ne pretpostavljajte da lista pokriva svaki tunel treće strane.
Šta promjena zaista mijenja
Četiri stvari se kreću zajedno kada se aktivna usluga promijeni. Podrazumijevana ruta prati novi tunel ako ta usluga šalje sav saobraćaj; lista rezolvera mijenja se na DNS servere koje usluga navodi; nove veze uzimaju novu adresu tunela kao svoj izvor; a akreditivi u upotrebi pripadaju novoj usluzi. Ugrađena konfiguracija i profil aplikacije nisu zamjenjivi, čak i kada oba završavaju na istom gatewayu.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
DNS dio ljude najčešće zbuni. macOS održava redoslijed rezolvera, a scutil --dns pokazuje koji su rezolveri u upotrebi i na kojem interfejsu. VPN usluga bez podešenih DNS servera može ostaviti Wi-Fi rezolver da odgovara, pa dobijete novu javnu adresu sa starim DNS ponašanjem i zaključite da je promjena napola uspjela.
Zašto se stara konfiguracija vraća
Ako se odspojite i ista usluga se trenutak kasnije ponovo spoji, prvo pogledajte On Demand. Pravilo spajanja na zahtjev može vratiti uslugu kada aplikacija razriješi odgovarajuću domenu, a upravljački profil može nametnuti isto pravilo. Brisanje unosa to rijetko rješava: konfiguracija instalirana profilom obično se vraća pri sljedećem osvježavanju profila, a ručna može ostaviti lozinku u Keychainu dok usluge više nema.
Pokretanje druge usluge ne zaustavlja uvijek prvu. Zavisno od klijenta i protokola možete završiti s dva tunela i dva skupa ruta, a redoslijed usluga i specifičnost rute odlučuju koja nosi saobraćaj, a ne ikona na koju ste zadnje kliknuli. Provjerite interfejse prije nego pretpostavite da se zamjena dogodila.
Provjerite tunel, a ne kvačicu
Prođite kroz vlastiti pogled sistema prije nego dirnete postavke.scutil --nc status "Name" izvještava šta sistem misli;ifconfig pokazuje da li interfejs utun ima adresu;netstat -rn -f inet pokazuje gdje vodi podrazumijevana ruta;scutil --dns pokazuje rezolver koji se stvarno koristi. Zatim otvorite svježu vezu i potvrdite izlaznu adresu, jer stranica koja je već prijavljena možda još koristi socket vezan za stari tunel.
Ako DNS još odgovara iz lokalne mreže, uporedite podešene servere usluge s listom rezolvera. Ako podrazumijevana ruta još pokazuje na fizički interfejs, usluga je split-tunnel ili nije potpuno povezana. Oboje su rezultat konfiguracije, a ne dokaz pokvarenog klijenta.
Redoslijed promjene bez iznenađenja
- Zabilježite trenutnu uslugu i upravlja li njome profil.
- Prvo je odspojite kada dva tunela ne mogu postojati zajedno.
- Spojite cilj i čekajte Povezano, a ne Povezivanje.
- Provjerite podrazumijevanu rutu, listu rezolvera i svježu izlaznu adresu.
- Ponovo pokrenite aplikacije koje drže dugotrajne sesije.
Držite stari unos dok novi ne prođe te provjere i dajte svakom unosu različito ime; identične oznake čine sljedeći kvar teže pripisivim. Appleova pomoć za Mac opisuje ugrađenu stranu na Postavljanje VPN veze na Macu, što je referenca koju treba provjeriti prije uređivanja upravljane konfiguracije.
Ako se izbor vraća, prvo to tretirajte kao politiku ili On Demand. Potvrdite ko posjeduje konfiguraciju i je li podešena za automatsko povezivanje, pa odlučite mijenjate li uslugu ili se borite s profilom.