Mac ของคุณเชื่อมต่อ VPN ซ้ำเอง: ตรวจสอบกฎตามต้องการ

คุณตัดการเชื่อมต่อ VPN แล้วสามสิบวินาทีต่อมาไอคอนบนแถบเมนูก็กลับมาที่เดิม ไม่มีอะไรลึกลับ: กฎตามต้องการของ macOS จะเริ่มการเชื่อมต่อเมื่อเครือข่ายเปลี่ยน หรือเมื่อมีบางสิ่งขอชื่อที่กฎนั้นครอบคลุม และกฎนั้นอาจอยู่ในโปรไฟล์ที่คุณไม่เคยเขียนเอง การไล่ตรวจสอบด้านล่างตามลำดับจะเร็วกว่าการติดตั้งไคลเอนต์ใหม่ กฎนี้คือนโยบาย ดังนั้นอ่านนโยบายก่อนจะต่อสู้กับมัน

กฎเฝ้าดูอะไรจริง ๆ

กฎตามต้องการมีจุดตัดสินใจสองจุด: เครือข่ายที่ Mac เชื่อมต่ออยู่ และโดเมนที่บางสิ่งกำลังพยายามแปลงชื่อ ทั้งสองอย่างสามารถยกอุโมงค์ขึ้นได้ จึงเป็นเหตุผลว่าทำไมการค้นชื่อภายในจึงเริ่ม VPN ที่ไม่มีใครเปิด การติดตั้งยังต้องมีการพิสูจน์ตัวตนที่ทำงานได้โดยไม่มีคนอยู่ จึงเป็นเหตุผลว่าทำไมระบบที่อิงใบรับรองจึงครอบงำฟลีตที่ถูกจัดการ

นอกจากนโยบายของระบบแล้ว อาจมีตัวเลือกเชื่อมต่อใหม่รายแอป ดังนั้นคำถามแรกคือ กลไกใดเชื่อมต่ออุโมงค์ใหม่ ตรวจสอบนโยบายของระบบก่อน จากนั้นไคลเอนต์ และสุดท้ายคือคนที่กดตัดการเชื่อมต่อ การตั้งค่าไคลเอนต์ส่วนใหญ่ที่ดูเหมือนรับผิดชอบนั้นไม่ใช่ ลำดับนี้สำคัญเพราะนโยบายของระบบชนะโดยค่าเริ่มต้น และการตั้งระดับไคลเอนต์อธิบายได้เฉพาะกรณีที่นโยบายไม่ครอบคลุม

นโยบายเป็นของใคร และการถอดออกมีราคาเท่าไร

อ่านโปรไฟล์ที่ติดตั้งและการควบคุมไคลเอนต์ที่รองรับก่อนจะเปลี่ยนสิ่งใดสิ่งหนึ่ง ถ้า Mac ถูกจัดการ เงื่อนไขจะถูกบันทึกไว้ที่ใดที่หนึ่ง และการขอเอกสารนั้นดีกว่าการถอดรหัสย้อนกลับ SSID และโดเมนจากภายนอก

วัสดุความเชื่อใจบน Mac ถูกใช้ร่วมกับทุกบริการอื่นที่ใช้มัน ดังนั้นการเพิกถอนจึงเป็นขั้นสุดท้ายไม่ใช่ขั้นแรก ลบโปรไฟล์ที่เป็นเจ้าของกฎ แล้วยืนยันว่ากฎหยุดทำงานก่อนจะแตะใบรับรอง โปรไฟล์ที่ถูกลบครึ่งเดียวนั่นเองคือเหตุผลที่คนสรุปว่าพฤติกรรมเป็นเรื่องสุ่ม สองคำสั่งที่แสดงว่ามีอะไรติดตั้งอยู่ควรเก็บไว้:

profiles show -type configuration
scutil --nc list

การเชื่อมต่อใหม่ไม่ได้พิสูจน์อะไร

การเชื่อมต่อใหม่ตามต้องการไม่ได้บอกอะไรเกี่ยวกับช่องว่าง: ระหว่างที่อุโมงค์กำลังขึ้น ทราฟฟิกยังออกผ่านอินเทอร์เฟซกายภาพได้ เว้นแต่นโยบายแยกจะยึดไว้ การบล็อกก่อนที่อุโมงค์จะมีอยู่เป็นการตั้งค่าคนละอย่างกับการเริ่มอุโมงค์ เครื่องที่เชื่อมต่อใหม่เร็วก็ยังรั่วได้ในไม่กี่วินาทีแรก

ขอบเขตเส้นทางเป็นคำถามที่สาม เพราะกฎที่เริ่มอุโมงค์ไม่ได้บอกอะไรเกี่ยวกับคำนำหน้าที่มันพาไป ยืนยันว่าการเชื่อมต่อกำหนดเส้นทางอะไร แทนที่จะถือว่าการเชื่อมต่อใหม่หมายถึงความครอบคลุมเต็ม ทดสอบอย่างตั้งใจ: ปิดไคลเอนต์ ยืนยันว่าบริการหยุดแล้ว จากนั้นขอทรัพยากรที่กฎควรปกป้อง

บันทึกตัวกระตุ้น ไม่ใช่ไอคอน

จดบันทึกว่าอะไรยกอุโมงค์ขึ้น: การเข้าร่วมเครือข่าย การเปิดแอป การแปลงชื่อส่วนตัว การตื่นจากโหมดหลับ สังเกตว่าเกิดขึ้นเมื่อใด ไม่ใช่แค่เกิดขึ้น เพราะลำดับคือหลักฐาน ตัวกระตุ้นที่เจาะจงมีค่ามากกว่าภาพหน้าจอของไอคอน

จากนั้นตรวจสอบทรัพยากรหลังการเชื่อมต่อขึ้น แถบเมนูพิสูจน์ว่าบริการกำลังทำงาน ไม่ได้พิสูจน์ว่าปลายทางที่คุณต้องการเข้าถึงได้ผ่านบริการนั้น สองอย่างนี้อาจต่างกันด้วยเหตุผลธรรมดา ๆ รวมถึงเส้นทางที่ชี้ไปที่อื่น

เมื่อกฎเริ่มการเชื่อมต่อที่ผิด

การเชื่อมต่อที่เริ่มเมื่อไม่ควรเริ่มมักมาจากโปรไฟล์ที่ล้าสมัย เงื่อนไขโดเมนที่กว้างกว่าที่ตั้งใจ หรือการกำหนดค่าสองชุดที่แย่งเครือข่ายเดียวกัน ทั้งสามอย่างมองเห็นได้ในการกำหนดค่าที่ติดตั้ง และไม่มีอันใดชัดขึ้นจากการเปิดปิดบริการ

นำตัวกระตุ้น เจ้าของโปรไฟล์ และพฤติกรรมที่ตั้งใจไปหาใครก็ตามที่จัดการนโยบาย เอกสารของ Apple เกี่ยวกับโหมดตามต้องการ คือคำศัพท์ร่วมของบทสนทนานั้น และสั้นกว่าการโต้เถียง ขอให้เปลี่ยนนโยบายแทนการลบ แล้วทั้งสองฝ่ายยังมีระบบที่ใช้งานได้