Kaj se res spremeni, ko v macOS zamenjate shranjene konfiguracije VPN
Zamenjava shranjenega VPN-ja v Macu ni zamenjava profila. Poglejte, kaj se spremeni v poteh, DNS in poverilnicah, ter kako preveriti tunel, ki ste ga dejansko dobili.
Odprete seznam VPN, izberete drug shranjen vnos in pričakujete čisto zamenjavo: nov izhodni naslov, vse ostalo pa nespremenjeno. Prav to predpostavko je treba najprej opustiti. V macOS je shranjen VPN polna omrežna storitev in ne prednastavitev, zato lahko zamenjava storitve hkrati spremeni usmerjanje, DNS in preverjanje pristnosti. Menijska vrstica pokaže, katera storitev je dejavna; ne pove, ali tunel pod njo ustreza vašemu namenu.
Shranjeni seznam ni izbirnik profilov
Vsak vnos v Sistemskih nastavitvah > Omrežje je samostojna storitev z lastnim naslovom strežnika, računom, metodo preverjanja pristnosti, strežniki DNS in možnostmi, kot je Pošlji ves promet prek povezave VPN. Starejše različice imajo enak seznam v Sistemskih nastavitvah. Dva vnosa lahko kažeta na isto ime gostitelja in se vseeno obnašata drugače, ker protokol ali razširitev odjemalca odloči, kako je tunel zgrajen.
Odjemalci tretjih strani imajo ločene sezname. Tunnelblick bere konfiguracije iz svoje mape, WireGuard vodi svoj seznam tunelov, OpenVPN Connect pa shranjuje profile znotraj aplikacije. Nekateri konfiguracijo registrirajo v sistemu; drugi vse hranijo v aplikaciji in se nikoli ne pojavijo na vgrajenem seznamu. Zato „preklopi na shranjeno“ pomeni različna dejanja glede na to, katera aplikacija ima profil.
scutil --nc list izpiše storitve VPN, registrirane v sistemski konfiguraciji, z imeni v narekovajih. Pri skriptiranju zamenjave uporabite točno ta imena in ne predpostavljajte, da seznam pokriva vsak tunel tretje strani.
Kaj zamenjava res spremeni
Štiri stvari se premaknejo skupaj, ko se spremeni dejavna storitev. Privzeta pot sledi novemu tunelu, če ta storitev pošilja ves promet; seznam razreševalnikov se spremeni na strežnike DNS, ki jih navede storitev; nove povezave prevzamejo naslov novega tunela kot vir; uporabljene poverilnice pa pripadajo novi storitvi. Izvorna konfiguracija in profil aplikacije nista zamenljiva, tudi ko se oba končata na istih vratih.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
Del z DNS je tisti, ki ljudi preseneti. macOS vzdržuje vrstni red razreševalnikov in scutil --dns pokaže, kateri razreševalniki so v uporabi in na katerem vmesniku. Storitev VPN brez nastavljenih strežnikov DNS lahko pusti, da odgovarja razreševalnik Wi-Fi, zato dobite nov javni naslov s starim vedenjem DNS in sklepate, da je zamenjava delovala na pol.
Zakaj se stara konfiguracija vrača
Če se odklopite in se ista storitev čez trenutek znova poveže, najprej poglejte On Demand. Pravilo povezovanja na zahtevo lahko vrne storitev, ko aplikacija razreši ustrezno domeno, upravljalni profil pa lahko vsili isto pravilo. Brisanje vnosa to redko odpravi: konfiguracija, nameščena s profilom, se običajno vrne ob naslednjem osveževanju profila, ročna pa lahko pusti geslo v Keychainu, medtem ko storitve ni več.
Zagon druge storitve ne ustavi vedno prve. Glede na odjemalca in protokol lahko ostanete z dvema tuneloma in dvema naboroma poti, o tem, katera nosi promet, pa odločata vrstni red storitev in natančnost poti, ne ikona, ki ste jo nazadnje kliknili. Preden domnevate, da se je zamenjava zgodila, preverite vmesnike.
Preverite tunel, ne kljukice
Preden se dotaknete nastavitev, pojdite skozi pogled samega sistema.scutil --nc status "Name" sporoči, kaj sistem misli;ifconfig pokaže, ali ima vmesnik utun naslov;netstat -rn -f inet pokaže, kam kaže privzeta pot;scutil --dns pokaže razreševalnik, ki se dejansko uporablja. Nato odprite novo povezavo in potrdite izhodni naslov, ker lahko stran, ki je bila že prijavljena, še vedno uporablja vtičnico, vezano na stari tunel.
Če DNS še vedno odgovarja iz krajevnega omrežja, primerjajte nastavljene strežnike storitve s seznamom razreševalnikov. Če privzeta pot še vedno kaže na fizični vmesnik, je storitev v razdeljenem tunelu ali ni popolnoma povezana. Oboje je posledica konfiguracije, ne dokaz pokvarjenega odjemalca.
Vrstni red zamenjave brez presenečenj
- Zapišite trenutno storitev in ali jo upravlja profil.
- Najprej jo odklopite, ko dva tunela ne moreta obstajati skupaj.
- Povežite cilj in počakajte na Povezano, ne na Povezovanje.
- Preverite privzeto pot, seznam razreševalnikov in nov izhodni naslov.
- Znova zaženite aplikacije, ki držijo dolgotrajne seje.
Obdržite stari vnos, dokler novi ne prestane teh preveritev, in vsakemu vnosu dajte različno ime; enake oznake otežijo pripis naslednje napake. Appleova pomoč za Mac opisuje izvorno stran na Nastavitev povezave VPN v Macu, kar je referenca, ki jo velja preveriti pred urejanjem upravljane konfiguracije.
Če se izbira vrne, to najprej obravnavajte kot pravilnik ali On Demand. Potrdite, komu pripada konfiguracija in ali je nastavljena na samodejno povezovanje, nato se odločite, ali menjate storitev ali se borite s profilom.