Редослед услуга у macOS-у не контролише ваше VPN руте

Нешто на веб страници не успе, колега се сети да постоји редослед услуга и Wi-Fi се превуче изнад Ethernet-а. Ништа се не мења јер тај списак никада није одлучио куда иде VPN одредиште. Apple даје VPN везама предност над обичним и држи их изван тог преслагања, па прекидач одговара на уже питање од постављеног. Квару треба изабрана рута и resolver, а не ново рангирање.

Шта редослед услуга мења, а шта никада не дира

„Постави редослед услуга” налази се у Системским подешавањима, Мрежа, у изборнику Радња, и рангира обичне везе када су две или више активне. То рангирање бира примарну услугу која даје подразумевану руту и део понашања resolver-а. То је одлука међу једнакима, не прекидач за приватна одредишта иза тунела. Преносни рачунар са Wi-Fi и USB Ethernet адаптером користи га за одговор на разумно питање, а то питање није о тунелу.

VPN профил носи укључене руте, искључена одредишта и понекад правила по апликацији, и она одлучују шта улази у тунел; изборник поретка их не уређује. Зато подељени тунел може оставити јавни саобраћај напољу док VPN и даље надмашује сваки физички интерфејс. Повлачење Wi-Fi на врх не чини приватни опсег доступним и не може зауставити одредиште које профил већ укључује. Списак помера интерфејсе; профил помера префиксе. Apple документује предност на својој страници о редоследу мрежних услуга, коју вреди једном прочитати пре него што било шта пресложите.

Прочитајте руту коју је рачунар стварно изабрао

Питајте рачунар куда иде одређена адреса са route get 10.20.4.10, па поновите за IPv6 са route -n get -inet6 2001:db8::10. Две су фамилије одвојене одлуке, па функционална IPv4 рута не говори ништа о v6, а директно повезана подмрежа или специфичнији префикс ионако побеђује општу ознаку везе, што је управо разлог зашто ознака и даље заводи људе.

Ако излаз наводи интерфејс тунела, профил је ухватио одредиште и поредак је небитан. Ако наводи физички интерфејс, профил то није учинио и никакво повлачење неће променити табелу префикса. Оба излаза наводе и изворну адресу коју би рачунар користио, а то је поље које треба цитирати кад упоређујете два покретања. Сачувајте излаз пре него што било шта промените, јер је то једини доказ који ћете после имати.

DNS разрешава по имену, не по интерфејсу

Ограничени и доменски resolver-и значе да се одговор може разликовати по имену, а не по интерфејсу. scutil --dns исписује конфигурацију resolver-а коју систем стварно користи, укључујући ограничене уносе. Редослед услуга утиче на то која услуга даје подразумевани resolver, али ограничење специфично за име може ипак да победи.

Зато ping на адресу може радити док име хоста не успева, или обрнуто. Прочитајте оба излаза пре него што одаберете кривца.

Промените профил, па поново прочитајте оба излаза

Када политика одредишта мора да се промени, власник је VPN профил: укључене руте, искључене руте и сва правила подељеног тунела која добављач подржава. Мењање интерфејса само помера расправу. На Mac-у којим се управља на даљину, прво сачувајте тренутно стање мреже, јер изгубити тунел на машини до које не можете да дођете је путовање, а не враћање.

Репродукујте квар, прочитајте руту, прочитајте resolver, промените једну ствар, па поново прочитајте иста два излаза. Мешање неколико услуга и профила одједном оставља рачунар који нико не може да објасни, укључујући особу која га је поправила. Тест се завршава када се оба излаза слажу са променом коју сте намеравали. Ако се још разилазе, профил и рачунар описују две различите политике, а профил је онај који треба променити.