Шта се заиста мења када промените сачуване VPN конфигурације на macOS-у
Промена сачуваног Mac VPN-а није замена профила. Погледајте шта се мења у рутама, DNS-у и акредитивима и како да проверите тунел који сте заиста добили.
Отворите листу VPN-а, изаберете други сачувани унос и очекујете чисту замену: нову излазну адресу и све остало непромењено. Ту претпоставку треба прво одбацити. На macOS-у је сачувани VPN пуна мрежна услуга, а не унапред подешена вредност, па промена услуге може истовремено да промени рутирање, DNS и аутентификацију. Трака менија показује која је услуга активна; не показује да ли тунел испод одговара вашој намери.
Сачувана листа није бирач профила
Сваки унос у Системским поставкама > Мрежа је засебна услуга, са сопственом адресом сервера, налогом, методом аутентификације, DNS серверима и опцијама као што је Слање целокупног саобраћаја кроз VPN везу. Старија издања држе исту листу у Системским поставкама. Два уноса могу да показују на исто име хоста и ипак се понашају другачије, јер протокол или екстензија клијента одређује како се тунел гради.
Клијенти трећих страна држе одвојене листе. Tunnelblick чита конфигурације из сопствене фасцикле, WireGuard држи сопствену листу тунела, а OpenVPN Connect чува профиле унутар апликације. Неки региструју конфигурацију у систему; други држе све унутар апликације и никада се не појављују на уграђеној листи. Зато „пређи на сачувану“ значи различите радње зависно од тога која апликација поседује профил.
scutil --nc list исписује VPN услуге регистроване у конфигурацији система, са именима под наводницима. Користите тачна имена када скриптујете промену и не претпостављајте да листа покрива сваки тунел треће стране.
Шта промена заиста мења
Четири ствари се крећу заједно када се промени активна услуга. Подразумевана рута прати нови тунел ако та услуга шаље сав саобраћај; листа резолвера се мења на DNS сервере које услуга наводи; нове везе узимају нову адресу тунела као извор; а акредитиви у употреби припадају новој услузи. Уграђена конфигурација и профил апликације нису заменљиви, чак и када оба завршавају на истом гејтвеју.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
Део са DNS-ом најчешће збуни људе. macOS одржава редослед резолвера, а scutil --dns показује који су резолвери у употреби и на ком интерфејсу. VPN услуга без подешених DNS сервера може оставити Wi-Fi резолвер да одговара, па добијете нову јавну адресу са старим DNS понашањем и закључите да је промена напола успела.
Зашто се стара конфигурација враћа
Ако се одспојите и иста услуга се поново повеже убрзо, прво погледајте On Demand. Правило повезивања на захтев може вратити услугу када апликација разреши одговарајући домен, а управљачки профил може наметнути исто правило. Брисање уноса то ретко решава: конфигурација инсталирана профилом обично се враћа при следећем освежавању профила, а ручна може оставити лозинку у Keychain-у док услуге више нема.
Покретање друге услуге не зауставља увек прву. Зависно од клијента и протокола можете завршити са два тунела и два скупа рута, а редослед услуга и специфичност руте одлучују која носи саобраћај, а не икона на коју сте последње кликнули. Проверите интерфејсе пре него што претпоставите да се замена догодила.
Проверите тунел, а не квачицу
Прођите кроз сопствени поглед система пре него што дирнете поставке.scutil --nc status "Name" извештава шта систем мисли;ifconfig показује да ли интерфејс utun има адресу;netstat -rn -f inet показује камо води подразумевана рута;scutil --dns показује резолвер који се стварно користи. Затим отворите свежу везу и потврдите излазну адресу, јер страница која је већ пријављена можда још користи сокет везан за стари тунел.
Ако DNS још одговара из локалне мреже, упоредите подешене сервере услуге са листом резолвера. Ако подразумевана рута још показује на физички интерфејс, услуга је split-tunnel или није потпуно повезана. Обоје су резултат конфигурације, не доказ поквареног клијента.
Редослед промене без изненађења
- Забележите тренутну услугу и да ли њоме управља профил.
- Прво је одспојите када два тунела не могу постојати заједно.
- Повежите циљ и чекајте Повезано, а не Повезивање.
- Проверите подразумевану руту, листу резолвера и свежу излазну адресу.
- Поново покрените апликације које држе дуготрајне сесије.
Држите стари унос док нови не прође те провере и дајте сваком уносу различито име; истоветне ознаке чине следећи квар теже приписивим. Apple-ова помоћ за Mac описује уграђену страну на Подешавање VPN везе на Mac-у, што је референца коју треба проверити пре уређивања управљане конфигурације.
Ако се избор враћа, прво то третирајте као политику или On Demand. Потврдите чија је конфигурација и да ли је подешена за аутоматско повезивање, па одлучите да ли мењате услугу или се борите са профилом.