Vaš Mac se sam znova poveže z VPN: preverite pravilo na zahtevo

Prekinete VPN in trideset sekund kasneje je ikona v menijski vrstici spet tam. Nič ni zakleto: pravila na zahtevo v macOS začnejo povezavo, ko se omrežje spremeni ali ko nekaj zahteva ime, ki ga pravilo pokriva, in pravilo lahko živi v profilu, ki ga niste nikoli napisali. Če preverjanja spodaj opravite po vrsti, ste hitrejši kot pri ponovni namestitvi odjemalca. Pravilo je politika, zato preberite politiko, preden se z njo spopadete.

Kaj pravilo v resnici spremlja

Pravilo na zahtevo ima dve odločitveni točki: omrežje, na katero je Mac priključen, in domeno, ki jo nekaj poskuša razrešiti. Vsaka od njiju lahko dvigne tunel, zato iskanje notranjega imena zažene VPN, ki ga ni nihče odprl. Uvedba potrebuje tudi preverjanje pristnosti, ki deluje brez prisotne osebe, zato na upravljanih flotah prevladujejo rešitve s potrdili.

Ob sistemski politiki lahko obstaja možnost ponovnega povezovanja za vsako aplikacijo, zato je prvo vprašanje kateri mehanizem je tunel znova povezal. Najprej preverite sistemsko politiko, nato odjemalca in šele na koncu tistega, ki je kliknil Prekini. Večina odjemalskih nastavitev, ki so videti odgovorne, to ni. Ta vrstni red je pomemben, ker sistemska politika privzeto zmaga, nastavitev na ravni odjemalca pa lahko pojasni le primere, ki jih politika ne pokriva.

Čigava je politika in koliko stane odstranitev

Preberite nameščeni profil in podprte odjemalske kontrolnike, preden katerega od njiju spremenite. Če je Mac upravljan, so pogoji nekje dokumentirani, in zahtevati ta dokument je bolje kot od zunaj na pamet rekonstruirati SSID-je in domene.

Gradivo zaupanja na Macu si deli z vsako drugo storitvijo, ki ga uporablja, zato je preklic zadnji korak in ne prvi. Odstranite profil, ki ima pravilo, nato potrdite, da pravilo neha delovati, preden se dotaknete potrdila. Napol odstranjen profil je natanko razlog, da ljudje sklenejo, da je vedenje naključno. Dve ukazni vrstici, ki pokažeta, kaj je nameščeno, se splača obdržati:

profiles show -type configuration
scutil --nc list

Česa ponovna povezava ne dokaže

Ponovna povezava na zahtevo ne pove ničesar o vrzeli: medtem ko tunel vstaja, lahko promet še vedno odhaja skozi fizični vmesnik, razen če ga zadrži ločena politika. Blokiranje, preden tunel obstaja, je drugačna nastavitev od zagona tunela. Stroj, ki se hitro znova poveže, lahko v prvih sekundah še vedno pušča.

Obseg poti je tretje vprašanje, ker pravilo, ki zažene tunel, ne pove ničesar o predponah, ki jih nosi. Potrdite, kaj povezava usmerja, namesto da predpostavite, da ponovna povezava pomeni polno pokritost. Preizkusite namerno: zaprite odjemalca, potrdite, da je storitev ustavljena, nato zahtevajte vir, ki naj bi ga pravilo zaščitilo.

Zapišite sprožilec, ne ikone

Zapišite, kaj je dvignilo tunel: pridružitev omrežju, odpiranje aplikacije, razrešitev zasebnega imena, prebuditev iz spanja. Opazite, kdaj se zgodi, ne le da se je zgodilo, ker je zaporedje dokaz. Konkreten sprožilec je vreden več kot posnetek zaslona z ikono.

Nato po dvigu povezave preverite vir. Menijska vrstica dokazuje, da storitev teče, ne da je cilj, ki ga potrebujete, dosegljiv skozi njo. To dvoje se lahko razhaja iz povsem običajnih razlogov, tudi zaradi poti, ki kaže drugam.

Ko pravilo zažene napačno povezavo

Povezava, ki se začne, ko ne bi smela, običajno izhaja iz zastarelega profila, širšega pogoja domene od predvidenega ali dveh konfiguracij, ki tekmujeta za isto omrežje. Vse tri so vidne v nameščeni konfiguraciji in nobena ne postane jasnejša z izklopom in vklopom storitve.

Prinesite sprožilec, lastnika profila in predvideno vedenje tistemu, ki upravlja politiko. Applovi dokumenti o delovanju na zahtevo so skupni besednjak za ta pogovor in so krajši od prepira. Zahtevajte spremembo politike namesto odstranitve, in obe strani obdržita delujočo nastavitev.