Poradie služieb v macOS neriadi vaše trasy VPN

Niečo na webovej stránke zlyhá, kolega si spomenie, že existuje poradie služieb, a Wi-Fi sa pretiahne nad Ethernet. Nič sa nemení, pretože tento zoznam nikdy nerozhodol, kam ide cieľ VPN. Apple dáva pripojeniam VPN prednosť pred bežnými a drží ich mimo tohto preusporiadania, takže prepínač odpovedá na užšiu otázku, než aká bola položená. Poruche treba zvolenú trasu a resolver, nie nové poradie.

Čo poradie služieb mení a čoho sa nikdy nedotýka

„Nastaviť poradie služieb“ je v Nastaveniach systému, Sieť, v ponuke Akcia, a zoraďuje bežné pripojenia, keď sú aktívne dve alebo viac. Toto poradie vyberá primárnu službu, ktorá poskytuje predvolenú trasu a časť správania resolvera. Je to rozhodnutie medzi rovnocennými, nie prepínač pre súkromné ciele za tunelom. Notebook s Wi-Fi a USB Ethernet adaptérom ho používa na odpoveď na rozumnú otázku a tá otázka nie je o tuneli.

Profil VPN nesie zahrnuté trasy, vylúčené ciele a niekedy pravidlá pre jednotlivé aplikácie, a práve ony rozhodujú, čo vstúpi do tunela; ponuka poradia ich needituje. Preto profil s rozdeleným tunelom môže nechať verejnú prevádzku vonku, kým VPN stále prevyšuje každé fyzické rozhranie. Pretiahnutie Wi-Fi na vrch neurobí súkromný rozsah dostupným a nezastaví cieľ, ktorý profil už zahŕňa. Zoznam posúva rozhrania; profil posúva prefixy. Apple dokumentuje prioritu na svojej stránke o poradí sieťových služieb, ktorú sa oplatí raz prečítať, než čokoľvek preusporiadate.

Prečítajte si trasu, ktorú stroj skutočne zvolil

Spýtajte sa stroja, kam ide konkrétna adresa, príkazom route get 10.20.4.10, potom to zopakujte pre IPv6 príkazom route -n get -inet6 2001:db8::10. Obe rodiny sú samostatné rozhodnutia, takže fungujúca trasa IPv4 nehovorí nič o v6, a priamo pripojená podsiera alebo konkrétnejší prefix aj tak porazí všeobecnú značku pripojenia, a to je presne dôvod, prečo značka naďalej zavádza ľudí.

Ak výstup pomenúva rozhranie tunela, profil cieľ zachytil a poradie je irelevantné. Ak pomenúva fyzické rozhranie, profil to neurobil, a žiadne ťahanie nezmení tabuľku prefixov. Oba výstupy tiež pomenúvajú zdrojovú adresu, ktorú by stroj použil, a to je pole, ktoré treba citovať pri porovnaní dvoch spustení. Uložte výstup predtým, než čokoľvek zmeníte, pretože je to jediný dôkaz, ktorý budete potom mať.

DNS rozlišuje podľa názvu, nie podľa rozhrania

Resolvery s rozsahom a resolvery špecifické pre doménu znamenajú, že odpoveď sa môže líšiť podľa názvu, nie podľa rozhrania. scutil --dns vypíše konfiguráciu resolvera, ktorú systém skutočne používa, vrátane záznamov s rozsahom. Poradie služieb ovplyvňuje, ktorá služba poskytuje predvolený resolver, ale rozsah špecifický pre názov môže napriek tomu vyhrať.

Preto môže ping na adresu fungovať, kým názov hostiteľa zlyháva, alebo naopak. Prečítajte si oba výstupy, než vyberiete vinníka.

Zmeňte profil a potom znova prečítajte oba výstupy

Keď sa má zmeniť politika cieľov, vlastníkom je profil VPN: zahrnuté trasy, vylúčené trasy a všetky pravidlá rozdeleného tunela, ktoré dodávateľ podporuje. Zmena rozhraní len presúva spor. Na Macu spravovanom na diaľku najprv uložte aktuálny stav siete, pretože strata tunela na stroji, ku ktorému sa nedostanete, je cesta, nie vrátenie.

Zreprodukujte poruchu, prečítajte trasu, prečítajte resolver, zmeňte jednu vec a potom znova prečítajte tie isté dva výstupy. Miešanie viacerých služieb a profilov naraz zanechá stroj, ktorý nikto nevie vysvetliť, vrátane toho, kto ho opravil. Test sa končí, keď oba výstupy súhlasia so zamýšľanou zmenou. Ak sa stále rozchádzajú, profil a stroj opisujú dve rôzne politiky a zmeniť treba profil.