Ваш Mac сам поново повезује VPN: проверите правило на захтев

Искључите VPN и тридесет секунди касније икона у траци менија је поново ту. Ништа није уклето: macOS правила на захтев покрећу везу када се мрежа промени или када нешто затражи име које правило покрива, а правило може да живи у профилу који никада нисте написали. Пролазак кроз провере испод редом је бржи од поновне инсталације клијента. Правило је политика, зато прочитајте политику пре него што се борите с њом.

Шта правило заиста надгледа

Правило на захтев има две тачке одлуке: мрежу на коју је Mac прикључен, и домен који нешто покушава да реши. Било која од њих може да подигне тунел, зато тражење интерног имена покреће VPN који нико није отворио. Постављање такође тражи аутентикацију која ради без присутне особе, зато у управљаним флотама преовлађују решења заснована на сертификатима.

Поред системске политике може да постоји опција поновног повезивања по апликацији, зато је прво питање који механизам је поново повезао тунел. Прво проверите системску политику, затим клијента и тек на крају онога који је кликнуо Искључи. Већина клијентских подешавања која изгледају одговорно то нису. Тај редослед је важан јер системска политика побеђује подразумевано, а подешавање на нивоу клијента може да објасни само случајеве које политика не покрива.

Коме припада политика и колико кошта уклањање

Прочитајте инсталирани профил и подржане контроле клијента пре него што промените било шта од тога. Ако се Macom управља, услови су негде документовани, и тражење тог документа је боље од обрнутог инжењеринга SSID-ова и домена споља.

Материјал поверења на Macu дели се са сваком другом услугом која га користи, зато је опозив последњи корак, а не први. Уклоните профил који поседује правило, затим потврдите да правило престаје да се активира пре него што дотакнете сертификат. Полууклоњен профил је управо разлог зашто људи закључују да је понашање случајно. Две команде које показују шта је инсталирано вреди задржати:

profiles show -type configuration
scutil --nc list

Шта поновно повезивање не доказује

Поновно повезивање на захтев не говори ништа о празнини: док се тунел подиже, саобраћај ипак може да изађе кроз физички интерфејс ако га не задржи посебна политика. Блокирање пре него што тунел постоји је другачије подешавање од покретања тунела. Машина која се брзо поново повеже ипак може да процури током првих секунди.

Обим рута је треће питање, јер правило које покреће тунел не говори ништа о префиксима које носи. Потврдите шта веза усмерава уместо да претпоставите да поновно повезивање значи пуну покривеност. Тестирајте то намерно: затворите клијента, потврдите да је услуга заустављена, затим затражите ресурс који правило треба да штити.

Забележите окидач, не икону

Запишите шта је подигло тунел: придруживање мрежи, отварање апликације, решавање приватног имена, буђење из сна. Обратите пажњу када се то дешава, а не само да се десило, јер је след доказ. Конкретан окидач вреди више од снимка екрана са иконом.

Затим проверите ресурс након што се веза подигне. Трака менија доказује да услуга ради, а не да је одредиште које вам треба доступно кроз њу. То двоје могу да се разиђу из сасвим обичних разлога, укључујући руту која показује на друго место.

Када правило покрене погрешну везу

Веза која почиње када не треба обично долази од застарелог профила, ширег услова домена од предвиђеног или две конфигурације које се такмиче за исту мрежу. Све три су видљиве у инсталираној конфигурацији, и ниједна не постаје јаснија укључивањем и искључивањем услуге.

Однесите окидач, власника профила и предвиђено понашање ономе ко управља политиком. Apple документација о раду на захтев заједнички је речник за тај разговор, и краћа је од расправе. Тражите промену политике уместо уклањања, и обе стране задржавају исправно подешавање.