macOS’ta kayıtlı VPN yapılandırmalarını değiştirdiğinizde gerçekte ne değişir
Kayıtlı bir Mac VPN’ini değiştirmek profil takası değildir. Rotalarda, DNS’te ve kimlik bilgilerinde neyin değiştiğini ve gerçekte aldığınız tüneli nasıl doğrulayacağınızı görün.
VPN listesini açarsınız, diğer kayıtlı girdiyi seçersiniz ve temiz bir geçiş beklersiniz: yeni bir çıkış adresi ve geri kalan her şey değişmeden. Önce bırakmanız gereken varsayım budur. macOS’ta kayıtlı bir VPN, ön ayar değil tam bir ağ hizmetidir; bu yüzden hizmet değiştirmek yönlendirmeyi, DNS’i ve kimlik doğrulamayı aynı anda değiştirebilir. Menü çubuğu hangi hizmetin etkin olduğunu söyler; altındaki tünelin amacınıza uyup uymadığını söylemez.
Kayıtlı liste bir profil seçici değildir
Sistem Ayarları > Ağ içindeki her girdi kendi hizmetidir; kendi sunucu adresi, hesabı, kimlik doğrulama yöntemi, DNS sunucuları ve Tüm trafiği VPN bağlantısı üzerinden gönder gibi seçenekleri vardır. Eski sürümler aynı listeyi Sistem Tercihleri’nde tutar. İki girdi aynı ana bilgisayar adına işaret edip yine de farklı davranabilir, çünkü protokol veya istemci uzantısı tünelin nasıl kurulduğuna karar verir.
Üçüncü taraf istemciler ayrı listeler tutar. Tunnelblick yapılandırmaları kendi klasöründen okur, WireGuard kendi tünel listesini tutar ve OpenVPN Connect profilleri uygulamanın içinde saklar. Bazıları yapılandırmayı sistemde kaydeder; diğerleri her şeyi uygulama içinde tutar ve yerleşik listede hiç görünmez. Bu yüzden «kayıtlı olana geç» ifadesi, profilin hangi uygulamaya ait olduğuna göre farklı eylemler anlamına gelir.
scutil --nc list sistem yapılandırmasında kayıtlı VPN hizmetlerini adları tırnak içinde yazdırır. Geçişi betiklerken tam olarak bu adları kullanın ve listenin her üçüncü taraf tünelini kapsadığını varsaymayın.
Bir geçiş gerçekte neyi değiştirir
Etkin hizmet değiştiğinde dört şey birlikte hareket eder. Hizmet tüm trafiği gönderiyorsa varsayılan rota yeni tüneli izler; çözümleyici listesi hizmetin belirttiği DNS sunucularına geçer; yeni bağlantılar kaynak olarak yeni tünel adresini alır; ve kullanılan kimlik bilgileri yeni hizmete aittir. Yerel yapılandırma ile uygulama profili, ikisi de aynı ağ geçidinde bitse bile birbirinin yerine geçmez.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
İnsanları en çok DNS kısmı şaşırtır. macOS bir çözümleyici sırası tutar ve scutil --dns hangi çözümleyicilerin hangi arabirimde kullanıldığını gösterir. DNS sunucusu yapılandırılmamış bir VPN hizmeti Wi-Fi çözümleyicisinin yanıtlamasına izin verebilir; böylece eski DNS davranışıyla yeni bir genel adres alırsınız ve geçişin yarı yarıya çalıştığı sonucuna varırsınız.
Eski yapılandırma neden geri gelir
Bağlantıyı keserseniz ve aynı hizmet bir an sonra yeniden bağlanırsa, önce On Demand’a bakın. İstek üzerine bağlanma kuralı, bir uygulama eşleşen bir alan adını çözdüğünde hizmeti geri getirebilir ve yönetim profili aynı kuralı dayatabilir. Girdiyi silmek bunu nadiren düzeltir: profille yüklenen yapılandırma genellikle bir sonraki profil yenilemesinde geri döner ve elle yapılan yapılandırma, hizmet yok olduğunda bile parolasını Keychain’de bırakabilir.
İkinci bir hizmeti başlatmak her zaman birincisini durdurmaz. İstemciye ve protokole göre iki tünel ve iki rota kümesiyle kalabilirsiniz; trafiği hangisinin taşıdığını son tıkladığınız simge değil, hizmet sırası ve rota özgüllüğü belirler. Bir geçiş olduğunu varsaymadan önce arabirimleri denetleyin.
Tüneli doğrulayın, onay işaretini değil
Ayarlara dokunmadan önce sistemin kendi görünümünü izleyin.scutil --nc status "Name" sistemin ne düşündüğünü bildirir;ifconfig bir arabirimin utun adresi olup olmadığını gösterir;netstat -rn -f inet varsayılan rotanın nereye işaret ettiğini gösterir;scutil --dns gerçekte kullanılan çözümleyiciyi gösterir. Ardından yeni bir bağlantı açın ve çıkış adresini doğrulayın; çünkü daha önce oturum açmış bir sayfa hâlâ eski tünele bağlı bir soket kullanıyor olabilir.
DNS hâlâ yerel ağdan yanıtlıyorsa, hizmetin yapılandırılmış sunucularını çözümleyici listesiyle karşılaştırın. Varsayılan rota hâlâ fiziksel arabirime işaret ediyorsa hizmet bölünmüş tüneldedir veya tam bağlı değildir. İkisi de yapılandırma sonucudur, bozuk istemci kanıtı değil.
Sürprizlerden kaçınan bir geçiş sırası
- Geçerli hizmeti ve onu bir profilin yönetip yönetmediğini not edin.
- İki tünel bir arada olamıyorsa önce onu bağlantısını kesin.
- Hedefe bağlanın ve Bağlanıyor değil, Bağlandı durumunu bekleyin.
- Varsayılan rotayı, çözümleyici listesini ve yeni bir çıkış adresini denetleyin.
- Uzun oturumlar tutan uygulamaları yeniden başlatın.
Yeni girdi bu denetimleri geçene kadar eski girdiyi koruyun ve her girdiye ayrı bir ad verin; aynı etiketler bir sonraki arızanın kaynağını bulmayı zorlaştırır. Apple’ın Mac yardımı yerel tarafı şurada anlatır:Mac’te VPN bağlantısı kurma, yönetilen bir yapılandırmayı düzenlemeden önce bakılması gereken başvuru.
Seçim geri dönerse, önce bunu bir ilke veya On Demand olarak ele alın. Yapılandırmanın kime ait olduğunu ve otomatik bağlanmaya ayarlı olup olmadığını doğrulayın, sonra bir hizmet mi değiştirdiğinize yoksa bir profille mi savaştığınıza karar verin.