Din Mac återansluter VPN av sig själv: kontrollera regeln vid behov

Du kopplar från VPN och trettio sekunder senare är ikonen i menyraden tillbaka. Inget är hemsökt: macOS-reglerna vid behov startar en anslutning när nätverket ändras eller när något frågar efter ett namn som regeln täcker, och regeln kan bo i en profil som du aldrig skrivit. Att gå igenom kontrollerna nedan i ordning är snabbare än att installera om klienten. Regeln är en policy, så läs policyn innan du kämpar mot den.

Vad regeln egentligen övervakar

Regeln vid behov har två beslutspunkter: nätverket som Macen är ansluten till, och en domän som något försöker slå upp. Båda kan resa tunneln, och därför startar en uppslagning av ett internt namn en VPN som ingen öppnade. Utrullningen behöver också autentisering som fungerar utan en person på plats, och därför dominerar certifikatbaserade lösningar i hanterade flottor.

Vid sidan av systempolicyn kan det finnas ett återanslutningsval per app, så den första frågan är vilken mekanism som återanslöt tunneln. Kontrollera systempolicyn först, sedan klienten och först till sist den som klickade Koppla från. De flesta klientinställningar som ser ansvarstagande ut är det inte. Den ordningen spelar roll eftersom systempolicyn vinner som standard, och en inställning på klientnivå kan bara förklara de fall som policyn inte täcker.

Vem äger policyn, och vad kostar borttagning

Läs den installerade profilen och de klientkontroller som stöds innan du ändrar någon av dem. Om Macen hanteras är villkoren dokumenterade någonstans, och att be om det dokumentet är bättre än att reverse-engineera SSID:n och domäner utifrån.

Förtroendematerial på Macen delas med varje annan tjänst som använder det, så återkallelse är det sista steget och inte det första. Ta bort profilen som äger regeln och bekräfta sedan att regeln slutar utlösas innan du rör ett certifikat. En halvt borttagen profil är precis anledningen till att folk drar slutsatsen att beteendet är slumpmässigt. De två kommandona som visar vad som är installerat är värda att behålla:

profiles show -type configuration
scutil --nc list

Vad återanslutning inte bevisar

Återanslutning vid behov säger ingenting om gapet: medan tunneln reser sig kan trafik fortfarande gå ut genom det fysiska gränssnittet om inte en separat policy håller kvar den. Att blockera innan tunneln finns är en annan inställning än att starta tunneln. En maskin som återansluter snabbt kan ändå läcka under de första sekunderna.

Ruttomfång är den tredje frågan, eftersom en regel som startar tunneln inte säger något om vilka prefix den bär. Bekräfta vad anslutningen routar i stället för att anta att en återanslutning betyder full täckning. Testa det med avsikt: avsluta klienten, bekräfta att tjänsten är stoppad och begär sedan resursen som regeln ska skydda.

Anteckna utlösaren, inte ikonen

Skriv ner vad som reste tunneln: att ansluta till ett nätverk, öppna en app, slå upp ett privat namn, vakna ur sömn. Lägg märke till när det händer och inte bara att det hände, eftersom sekvensen är beviset. En specifik utlösare är värd mer än en skärmbild av ikonen.

Verifiera sedan resursen efter att anslutningen rest sig. Menyraden bevisar att en tjänst körs, inte att målet du behöver nås genom den. De två kan gå isär av helt vanliga skäl, bland annat en rutt som pekar någon annanstans.

När regeln startar fel anslutning

En anslutning som startar när den inte borde kommer oftast från en föråldrad profil, ett bredare domänvillkor än avsett eller två konfigurationer som tävlar om samma nätverk. Alla tre syns i den installerade konfigurationen, och ingen blir tydligare av att slå tjänsten till och från.

Ta med utlösaren, profilägaren och det avsedda beteendet till den som hanterar policyn. Apples dokumentation om vid behov är den gemensamma vokabulären för det samtalet, och den är kortare än diskussionen. Be om en ändring av policyn i stället för en borttagning, och båda sidor behåller en fungerande uppsättning.