VPN na Macu visí na „Odpája sa“: čo vlastne beží

Odpájanie je prechod, nie zastavený tunel. Zistite, ktorý komponent vlastní rozobratie, prečítajte trasy a DNS a vyhnite sa plošnému zabíjaniu procesov.

„Odpája sa“ je stav, ktorý klient hlási počas rozoberania tunela, nie verdikt, že premávka sa zastavila. Na Macu to rozoberanie prebieha ako krátka postupnosť a označenie sa zmení až po tom, čo sa komponent, ktorý spojenie vlastní, ozve späť. Keď niektorý krok čaká na pomocníka, plugin alebo rozhodnutie zásady, označenie môže zostať na mieste aj po zmiznutí rozhrania, alebo tunel môže ďalej preposielať, zatiaľ čo ponuka ho ešte zobrazuje. Berte text ako „rozoberanie prebieha, výsledok neznámy“ a zistite, ktorá polovica je pravdivá.

Dve poruchy vyzerajú z panelu ponuky rovnako a vyžadujú opačné reakcie. V jednej tunel stále nesie pakety a len zobrazenie je zastarané. V druhej tunel zmizol, ale samostatná zásada drží premávku zablokovanú, čo je často zámer. Trasy a stav DNS ich oddelia rýchlejšie než akákoľvek práca s ponukou.

Čo označenie sleduje

Klient VPN drží malý stavový stroj a panel ponuky je jeho projekcia. Pri spojení, ktoré spravuje sám macOS, ten stroj sedí v systémovom rámci VPN. Pri tuneli spravovanom aplikáciou sedí v aplikácii a jej privilegovanom pomocníkovi. Posledným krokom zastavenia nie je zatvorenie soketu. Je to uvoľnenie toho, čo tunel držalo v chode: rozhrania utun, trás, ktoré naň ukazovali, záznamov prekladača, ktoré klient vložil, a každého pravidla firewallu alebo zásady, ktorá blokovala premávku počas pripojenia.

Tieto kroky sú oddelené, takže zastavenie môže uviaznuť na ktoromkoľvek z nich. Pomocník, ktorý prestane odpovedať, trasa, ktorú si nárokuje aj druhé rozhranie, alebo záznam prekladača, ktorý vlastní iný profil, môžu klienta nechať čakať. Označenie je správa o vlastnom postupe klienta, čo ho robí smerodajným o zámere a nespoľahlivým o sieti.

Nájdite komponent, ktorý spojenie vlastní

Pri natívnych konfiguráciách scutil --nc list vypíše služby, ktoré systém pozná, a ich stav, a scutil --nc status "Work VPN" dá podrobnosti o jednej službe. Tunel, ktorý drží aplikácia tretej strany, sa v tom zozname nemusí objaviť vôbec, takže prázdny výsledok nie je dôkazom, že nič nie je pripojené.

Keď profil patrí aplikácii, spoľahnite sa na jej pohľad na stav a na zdokumentovanú kontrolu „Odpojiť“. Zatvorenie okna nie je žiadosť o zastavenie, ak tunel vlastní pomocník na pozadí; ikona zmizne a pomocník drží rozhranie nažive. Appleov prehľad nastavení VPN pokrýva natívne ovládacie prvky a to, odkiaľ prichádzajú spravované nastavenia.

Čítajte rozhrania, trasy a DNS

Tri kontroly odpovedajú na väčšinu otázky bez toho, aby sa dotkli spojenia. Dôležité je vykladať ich spoločne, pretože každá sama osebe zavádza.

scutil --nc list
netstat -rn -f inet | head -20
ifconfig | grep -A 3 '^utun'
scutil --dns | head -30
  • rozhranie utun existuje, vedie cez neho predvolená alebo rozdelená trasa, prekladač ukazuje na poskytovateľa: tunel je stále hore a označenie je zastarané.
  • žiadne utun, bežná predvolená trasa, DNS z DHCP, žiadny internet: zásada blokujúca po odpojení robí svoju prácu.
  • žiadne utun, žiadna trasa, prekladač stále ukazuje na poskytovateľa: rozoberanie sa zastavilo v polovici a DNS je zvyšok na vyčistenie.

Potom pošlite jednu požiadavku na vnútorného hostiteľa, ktorý by mal odpovedať iba cez tunel, a jednu na verejného hostiteľa. Dostupnosť oddeľuje zásadu od zvyškového stavu bez toho, aby sa kontrola zmenila na meracie cvičenie. Najprv uložte vzdialenú prácu, ak cesta ešte odpovedá, a zabezpečte druhý spôsob prístupu, než zmeníte sieť na stroji, ktorý spravujete na diaľku.

Prečo plošné zabíjanie a zmazanie profilu zavádzajú

Názvy procesov ako pppd, racoon a configd patria konkrétnym implementáciám. Ich zabitie môže ovplyvniť iné spojenia, zanechá trasy a rozhrania utun a nedá vám záznam o tom, ktorý krok uviazol. Ani starý názov procesu nie je dôkazom, že vlastní aktuálny profil.

Zmazanie a opätovné vytvorenie profilu je väčšia zmena než vyčistenie uviaznutého prechodu. Môže zahodiť spravované nastavenia a miestny identitný materiál bez vysvetlenia, čo zlyhalo, a na Macu pod dohľadom môže byť jednoducho obnovený. Ponechajte odstraňovanie pre konfiguráciu, ktorá je naozaj zastaraná, a namiesto toho diagnostikujte prechod.

Postupnosť zastavenia, ktorá zanechá stopu

Poradie nižšie necháva vlastné ovládacie prvky spojenia zodpovednými a vytvára záznam, ak sa uviaznutie vráti. Tiež vás drží od toho, aby ste problém zobrazenia zmenili na sieťovú zmenu.

  1. Uložte vzdialenú prácu a potvrďte, že sa k Macu dostanete inak, ak je vzdialený.
  2. Poznamenajte názov klienta, verziu a profil. Zachyťte krátke okno pomocou log show --last 5m --predicate 'subsystem == "com.apple.networkextension"'; staršie vydania uchovávajú menej histórie, takže to spustite čoskoro po uviaznutí.
  3. Použite zdokumentovanú kontrolu „Odpojiť“, počkajte a potom zopakujte kontroly rozhrania a trás.
  4. Ak je označenie zastarané, ale tunel je dole, nechajte ho a nechajte klienta obnoviť, namiesto nútenia procesov.
  5. Ak sa rozoberanie naozaj zaseklo, restartujte klienta a potom naplánujte reštart Macu, keď je práca uložená. Spravované stroje potrebujú postup správcu.

Po obnovení potvrďte, že bežná predvolená trasa a prekladač DHCP sú späť a že blokovaná premávka je buď obnovená, alebo je zámerne stále blokovaná. Zapíšte profil a verziu klienta spolu s príznakom, aby ďalší výskyt začal dôkazmi a nie dohadom z panelu ponuky.

Súvisiace články