Váš Mac sa sám znova pripája k VPN: skontrolujte pravidlo na požiadanie

Odpojíte VPN a o tridsať sekúnd je ikona v riadku ponuky späť. Nič tu nestraší: pravidlá na požiadanie v macOS začnú pripojenie, keď sa zmení sieť alebo keď niečo požiada o názov, ktorý pravidlo pokrýva, a pravidlo môže žiť v profile, ktorý ste nikdy nenapísali. Prejsť kontroly nižšie po poriadku je rýchlejšie ako preinštalovať klienta. Pravidlo je zásada, tak si zásadu prečítajte, skôr než proti nej budete bojovať.

Na čo pravidlo vlastne dohliada

Pravidlo na požiadanie má dva rozhodovacie body: sieť, ku ktorej je Mac pripojený, a doménu, ktorú sa niečo snaží preložiť. Ktorýkoľvek z nich môže zdvihnúť tunel, a preto vyhľadanie interného názvu spustí VPN, ktorú nikto neotvoril. Nasadenie tiež potrebuje overovanie, ktoré funguje bez prítomnej osoby, a preto v riadených flotilách prevládajú riešenia založené na certifikátoch.

Vedľa systémovej zásady môže existovať voľba opätovného pripojenia pre jednotlivé aplikácie, takže prvá otázka je ktorý mechanizmus tunel znova pripojil. Najprv skontrolujte systémovú zásadu, potom klienta a až nakoniec toho, kto klikol na Odpojiť. Väčšina klientskych predvolieb, ktoré vyzerajú zodpovedne, taká nie je. Na tom poradí záleží, pretože systémová zásada v predvolenom stave vyhráva a nastavenie na úrovni klienta môže vysvetliť len prípady, ktoré zásada nepokrýva.

Komu zásada patrí a čo stojí odstránenie

Prečítajte si nainštalovaný profil a podporované klientske ovládacie prvky, než ktorýkoľvek z nich zmeníte. Ak je Mac spravovaný, podmienky sú niekde zdokumentované, a požiadať o ten dokument je lepšie než reverzné inžinierstvo SSID a domén zvonku.

Materiál dôvery na Macu je zdieľaný so všetkými ostatnými službami, ktoré ho používajú, takže odvolanie je posledný krok, nie prvý. Odstráňte profil, ktorému pravidlo patrí, potom potvrďte, že pravidlo prestalo zasahovať, než sa dotknete certifikátu. Napoly odstránený profil je presne dôvod, prečo ľudia usudzujú, že správanie je náhodné. Dva príkazy, ktoré ukazujú, čo je nainštalované, stojí za to si nechať:

profiles show -type configuration
scutil --nc list

Čo opätovné pripojenie nedokazuje

Opätovné pripojenie na požiadanie nehovorí nič o medzere: kým tunel nabieha, prevádzka môže stále odchádzať fyzickým rozhraním, ak ju nezdrží samostatná zásada. Blokovať skôr, než tunel existuje, je iné nastavenie než tunel spustiť. Stroj, ktorý sa rýchlo pripojí, môže počas prvých sekúnd stále unikať.

Rozsah trás je tretia otázka, pretože pravidlo, ktoré tunel spustí, nehovorí nič o prefixoch, ktoré nesie. Potvrďte, čo pripojenie smeruje, namiesto toho, aby ste predpokladali, že opätovné pripojenie znamená plné pokrytie. Otestujte to zámerne: ukončite klienta, potvrďte, že služba je zastavená, a potom požiadajte o prostriedok, ktorý má pravidlo chrániť.

Zapíšte spúšťač, nie ikonu

Zapíšte, čo tunel zdvihlo: pripojenie k sieti, otvorenie aplikácie, preklad súkromného názvu, prebudenie zo spánku. Všimnite si, kedy sa to stane, nie len že sa to stalo, pretože dôkazom je sled. Konkrétny spúšťač má väčšiu cenu ako snímka obrazovky s ikonou.

Potom po zdvihnutí spojenia overte prostriedok. Riadok ponuky dokazuje, že služba beží, nie že cieľ, ktorý potrebujete, je cez ňu dostupný. Tie dve veci sa môžu rozísť z celkom obyčajných dôvodov, vrátane trasy, ktorá mieri inam.

Keď pravidlo spustí nesprávne spojenie

Spojenie, ktoré sa spustí, keď nemá, zvyčajne pochádza zo zastaraného profilu, širšej podmienky domény, než bolo zamýšľané, alebo z dvoch konfigurácií súperiacich o tú istú sieť. Všetky tri sú viditeľné v nainštalovanej konfigurácii a žiadna sa nevyjasní prepínaním služby.

Prineste spúšťač, vlastníka profilu a zamýšľané správanie tomu, kto zásadu spravuje. Dokumentácia Apple k správaniu na požiadanie je zdieľaný slovník pre ten rozhovor a je kratšia než hádka. Žiadajte zmenu zásady, nie odstránenie, a obe strany si ponechajú fungujúce nastavenie.