Ano ang talagang nagbabago kapag nagpalit ka ng naka-save na VPN configuration sa macOS
Ang pagpalit ng naka-save na Mac VPN ay hindi pagpapalit ng profile. Tingnan kung ano ang nagbabago sa ruta, DNS at kredensyal, at kung paano i-verify ang tunnel na talagang nakuha mo.
Bubuksan mo ang listahan ng VPN, pipiliin ang isa pang naka-save na entry at aasahan ang malinis na pagpalit: bagong exit address at walang ibang nagbago. Iyan ang palagay na dapat mong iwanan muna. Sa macOS, ang naka-save na VPN ay isang buong serbisyo ng network at hindi preset, kaya ang pagpalit ng serbisyo ay maaaring magbago nang sabay ng routing, DNS at authentication. Sinasabi ng menu bar kung aling serbisyo ang aktibo; hindi nito sinasabi kung tugma ang tunnel sa ilalim nito sa intensyon mo.
Ang naka-save na listahan ay hindi tagapili ng profile
Ang bawat entry sa System Settings > Network ay sariling serbisyo, may sariling server address, account, paraan ng authentication, mga DNS server at mga opsyon tulad ng Ipadala ang lahat ng trapiko sa koneksyon ng VPN. Ang mga lumang bersyon ay may parehong listahan sa System Preferences. Dalawang entry ay maaaring tumuro sa parehong hostname at magkaiba pa rin ang kilos, dahil ang protocol o ang extension ng client ang nagtatakda kung paano itinayo ang tunnel.
Ang mga third-party client ay may hiwalay na listahan. Binabasa ng Tunnelblick ang mga configuration mula sa sarili nitong folder, may sariling listahan ng tunnel ang WireGuard, at iniimbak ng OpenVPN Connect ang mga profile sa loob ng app. May nagrerehistro ng configuration sa system; may iba na inilalagay ang lahat sa loob ng app at hindi kailanman lumilitaw sa built-in na listahan. Kaya ang «lumipat sa naka-save» ay nangangahulugan ng iba't ibang aksyon depende sa app na may-ari ng profile.
scutil --nc list ipinapakita ang mga serbisyong VPN na nakarehistro sa configuration ng system, kasama ang mga pangalan sa loob ng quotes. Gamitin ang eksaktong mga pangalang iyon kapag nag-script ka ng pagpalit, at huwag ipalagay na saklaw ng listahan ang bawat third-party tunnel.
Ano ang talagang binabago ng pagpalit
Apat na bagay ang gumagalaw nang sabay kapag nagbago ang aktibong serbisyo. Sinusundan ng default route ang bagong tunnel kung ipinapadala ng serbisyong iyon ang lahat ng trapiko; nagbabago ang listahan ng resolver sa mga DNS server na tinukoy ng serbisyo; ang mga bagong koneksyon ay kumukuha ng bagong tunnel address bilang pinagmulan; at ang mga kredensyal na ginagamit ay pag-aari ng bagong serbisyo. Ang native na configuration at profile ng app ay hindi mapagpapalit, kahit pareho silang nagtatapos sa iisang gateway.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
Ang bahagi ng DNS ang madalas ikagulat ng mga tao. Nagpapanatili ang macOS ng pagkakasunod-sunod ng resolver, at scutil --dns ipinapakita kung aling mga resolver ang ginagamit at sa aling interface. Ang serbisyong VPN na walang naka-configure na DNS server ay maaaring hayaang sumagot ang resolver ng Wi-Fi, kaya nakakakuha ka ng bagong pampublikong address na may lumang kilos ng DNS at napagpasyahan mong kalahati lang ang gumana ng pagpalit.
Bakit bumabalik ang lumang configuration
Kung mag-disconnect ka at muling kumonekta ang parehong serbisyo makalipas ang isang sandali, tingnan muna ang On Demand. Ang panuntunan ng koneksyon kapag hiniling ay maaaring magbalik ng serbisyo kapag naresolba ng app ang tugmang domain, at maaaring ipatupad ng management profile ang parehong panuntunan. Bihirang maayos ito ng pagbura ng entry: ang configuration na inilagay ng profile ay kadalasang bumabalik sa susunod na refresh ng profile, at ang manuwal ay maaaring mag-iwan ng password sa Keychain habang wala na ang serbisyo.
Ang pagsisimula ng pangalawang serbisyo ay hindi laging nagpapatigil sa una. Depende sa client at protocol, maaari kang maiwanan ng dalawang tunnel at dalawang set ng ruta, at ang pagkakasunod-sunod ng serbisyo at pagiging espesipiko ng ruta ang nagtatakda kung alin ang nagdadala ng trapiko, hindi ang icon na huli mong kinlik. Suriin ang mga interface bago ipalagay na may nangyaring pagpalit.
I-verify ang tunnel, hindi ang check mark
Daanaan ang sariling pananaw ng system bago hawakan ang mga setting.scutil --nc status "Name" iniuulat kung ano ang iniisip ng system;ifconfig ipinapakita kung ang interface utun ay may address;netstat -rn -f inet ipinapakita kung saan tumuturo ang default route;scutil --dns ipinapakita ang resolver na talagang ginagamit. Pagkatapos ay magbukas ng bagong koneksyon at kumpirmahin ang exit address, dahil ang pahinang naka-sign in na ay maaaring gumagamit pa rin ng socket na nakatali sa lumang tunnel.
Kung sumasagot pa rin ang DNS mula sa lokal na network, ihambing ang mga naka-configure na server ng serbisyo sa listahan ng resolver. Kung tumuturo pa rin ang default route sa pisikal na interface, ang serbisyo ay split-tunnel o hindi ganap na konektado. Pareho itong resulta ng configuration, hindi patunay ng sirang client.
Isang pagkakasunod-sunod ng pagpalit na umiiwas sa sorpresa
- Itala ang kasalukuyang serbisyo at kung may profile na namamahala rito.
- Idiskonekta muna ito kapag hindi maaaring magkasama ang dalawang tunnel.
- Ikonekta ang target at hintayin ang Connected, hindi Connecting.
- Suriin ang default route, listahan ng resolver at bagong exit address.
- I-restart ang mga app na may mahahabang session.
Itago ang lumang entry hanggang makapasa ang bago sa mga pagsusuring iyon, at bigyan ang bawat entry ng ibang pangalan; ang magkakahawig na label ay nagpapahirap iugnay ang susunod na pagkabigo. Inilalarawan ng Tulong ng Mac ng Apple ang native na bahagi sa Pag-set up ng koneksyon ng VPN sa Mac, na siyang sangguniang dapat tingnan bago i-edit ang pinamamahalaang configuration.
Kung bumabalik ang seleksyon, ituring muna itong patakaran o On Demand. Kumpirmahin kung kanino ang configuration at kung nakatakda itong kumonekta nang awtomatiko, pagkatapos ay magpasya kung nagpapalit ka ng serbisyo o nakikipaglaban sa isang profile.