Ваш Mac сам перепідключає VPN: перевірте правило «за запитом»

Ви вимикаєте VPN, і через тридцять секунд значок у рядку меню знову на місці. Нічого містичного: правила macOS «за запитом» запускають з'єднання, коли змінюється мережа або коли щось запитує ім'я, яке покриває правило, і правило може жити в профілі, який ви ніколи не писали. Пройти перевірки нижче по порядку швидше, ніж переінсталювати клієнт. Правило — це політика, тому прочитайте політику, перш ніж боротися з нею.

За чим правило насправді стежить

У правила «за запитом» дві точки рішення: мережа, до якої під'єднано Mac, і домен, який щось намагається розв'язати. Будь-яка з них може підняти тунель, тому пошук внутрішнього імені запускає VPN, яку ніхто не відкривав. Розгортанню також потрібна автентифікація, що працює без присутньої людини, тому в керованих парках переважають схеми на сертифікатах.

Поруч із системною політикою може існувати параметр перепідключення для кожної програми, тому перше питання — який механізм перепідключив тунель. Спочатку перевірте системну політику, потім клієнт і лише потім того, хто натиснув Від'єднати. Більшість клієнтських налаштувань, які виглядають відповідальними, такими не є. Цей порядок важливий, бо системна політика перемагає за замовчуванням, а налаштування на рівні клієнта може пояснити лише ті випадки, які політика не покриває.

Кому належить політика і скільки коштує видалення

Прочитайте встановлений профіль і підтримувані елементи керування клієнта, перш ніж змінювати будь-що з них. Якщо Mac керується, умови десь задокументовано, і попросити цей документ краще, ніж зворотньою інженерією витягати SSID і домени ззовні.

Матеріал довіри на Mac спільний для всіх інших служб, які ним користуються, тому відкликання — останній крок, а не перший. Видаліть профіль, якому належить правило, потім переконайтеся, що правило перестало спрацьовувати, перш ніж чіпати сертифікат. Наполовину видалений профіль — це саме те, через що люди доходять висновку, що поведінка випадкова. Дві команди, які показують, що встановлено, варто зберегти:

profiles show -type configuration
scutil --nc list

Чого перепідключення не доводить

Перепідключення за запитом нічого не каже про розрив: поки тунель піднімається, трафік усе ще може виходити через фізичний інтерфейс, якщо окрема політика його не утримує. Блокування до появи тунелю — це інше налаштування, ніж запуск тунелю. Машина, яка швидко перепідключається, усе одно може протекти в перші секунди.

Обсяг маршрутів — третє питання, бо правило, яке запускає тунель, нічого не каже про префікси, які він несе. Переконайтеся, що саме маршрутизує з'єднання, замість припускати, що перепідключення означає повне покриття. Перевірте це навмисно: закрийте клієнт, переконайтеся, що службу зупинено, потім запросіть ресурс, який правило має захищати.

Записуйте тригер, а не значок

Запишіть, що підняло тунель: під'єднання до мережі, відкриття програми, розв'язання приватного імені, пробудження зі сну. Зверніть увагу, коли це відбувається, а не лише що відбулося, бо послідовність і є доказ. Конкретний тригер цінніший за скриншот значка.

Потім перевірте ресурс після того, як з'єднання підніметься. Рядок меню доводить, що служба працює, а не що потрібна вам адреса доступна через неї. Ці дві речі можуть розійтися з цілком звичайних причин, зокрема через маршрут, що веде в інше місце.

Коли правило запускає не те з'єднання

З'єднання, яке починається, коли не повинно, зазвичай походить від застарілого профілю, ширшої, ніж задумано, умови домену або двох конфігурацій, що змагаються за одну мережу. Усі три видно у встановленій конфігурації, і жодна не прояснюється вимкненням і ввімкненням служби.

Принесіть тригер, власника профілю та передбачувану поведінку тому, хто керує політикою. Документація Apple про роботу за запитом — це спільний словник для такої розмови, і вона коротша за суперечку. Просіть змінити політику, а не видалити її, і обидві сторони збережуть робочу конфігурацію.