Mac của bạn tự kết nối lại VPN: kiểm tra quy tắc theo yêu cầu

Bạn ngắt VPN và ba mươi giây sau biểu tượng trên thanh menu lại xuất hiện. Không có gì là ma quái: các quy tắc theo yêu cầu của macOS bắt đầu kết nối khi mạng thay đổi hoặc khi thứ gì đó hỏi một tên mà quy tắc bao phủ, và quy tắc có thể nằm trong một hồ sơ mà bạn chưa từng viết. Đi qua các kiểm tra dưới đây theo thứ tự nhanh hơn cài lại ứng dụng khách. Quy tắc là một chính sách, nên hãy đọc chính sách trước khi chống lại nó.

Quy tắc thực sự theo dõi điều gì

Quy tắc theo yêu cầu có hai điểm quyết định: mạng mà Mac đang kết nối, và một tên miền mà thứ gì đó đang cố phân giải. Một trong hai đều có thể dựng đường hầm lên, đó là lý do tra cứu một tên nội bộ lại khởi động một VPN mà không ai mở. Việc triển khai cũng cần xác thực hoạt động mà không có người hiện diện, đó là lý do các phương án dựa trên chứng chỉ chiếm ưu thế trong các đội máy được quản lý.

Bên cạnh chính sách hệ thống có thể có tùy chọn kết nối lại cho từng ứng dụng, nên câu hỏi đầu tiên là cơ chế nào đã kết nối lại đường hầm. Kiểm tra chính sách hệ thống trước, rồi đến ứng dụng khách, và cuối cùng là người đã bấm Ngắt kết nối. Phần lớn tùy chọn của ứng dụng khách trông có vẻ chịu trách nhiệm thực ra không phải. Thứ tự đó quan trọng vì chính sách hệ thống thắng theo mặc định, và một thiết lập ở cấp ứng dụng khách chỉ có thể giải thích những trường hợp mà chính sách không bao phủ.

Chính sách của ai, và việc gỡ bỏ tốn gì

Đọc hồ sơ đã cài và các điều khiển ứng dụng khách được hỗ trợ trước khi thay đổi bất kỳ thứ nào trong đó. Nếu Mac được quản lý, các điều kiện được ghi ở đâu đó, và yêu cầu tài liệu đó tốt hơn là dịch ngược SSID và tên miền từ bên ngoài.

Vật liệu tin cậy trên Mac được chia sẻ với mọi dịch vụ khác dùng nó, nên thu hồi là bước cuối cùng chứ không phải bước đầu. Gỡ hồ sơ sở hữu quy tắc, rồi xác nhận quy tắc ngừng kích hoạt trước khi chạm vào chứng chỉ. Một hồ sơ bị gỡ một nửa chính là lý do người ta kết luận hành vi là ngẫu nhiên. Hai lệnh cho biết những gì đã cài đặt đáng được giữ lại:

profiles show -type configuration
scutil --nc list

Kết nối lại không chứng minh điều gì

Kết nối lại theo yêu cầu không nói gì về khoảng trống: trong khi đường hầm đang lên, lưu lượng vẫn có thể đi ra qua giao diện vật lý trừ khi một chính sách riêng giữ nó lại. Chặn trước khi đường hầm tồn tại là thiết lập khác với khởi động đường hầm. Máy kết nối lại nhanh vẫn có thể rò rỉ trong những giây đầu tiên.

Phạm vi tuyến là câu hỏi thứ ba, vì một quy tắc khởi động đường hầm không nói gì về các tiền tố mà nó mang. Xác nhận kết nối định tuyến những gì thay vì cho rằng kết nối lại nghĩa là phủ toàn bộ. Hãy kiểm tra có chủ đích: thoát ứng dụng khách, xác nhận dịch vụ đã dừng, rồi yêu cầu tài nguyên mà quy tắc phải bảo vệ.

Ghi lại tác nhân kích hoạt, không phải biểu tượng

Ghi lại điều gì đã dựng đường hầm: tham gia một mạng, mở ứng dụng, phân giải một tên riêng, thức dậy từ giấc ngủ. Chú ý khi nào nó xảy ra chứ không chỉ là nó đã xảy ra, vì trình tự chính là bằng chứng. Một tác nhân kích hoạt cụ thể đáng giá hơn ảnh chụp màn hình biểu tượng.

Sau đó xác minh tài nguyên sau khi kết nối lên. Thanh menu chứng minh một dịch vụ đang chạy, không phải rằng đích bạn cần có thể đến được qua nó. Hai điều đó có thể khác nhau vì lý do hoàn toàn bình thường, kể cả một tuyến trỏ đến nơi khác.

Khi quy tắc khởi động nhầm kết nối

Một kết nối bắt đầu khi không nên thường đến từ một hồ sơ lỗi thời, một điều kiện tên miền rộng hơn dự định, hoặc hai cấu hình tranh nhau cùng một mạng. Cả ba đều thấy được trong cấu hình đã cài, và không cái nào rõ hơn khi bật tắt dịch vụ.

Mang tác nhân kích hoạt, chủ hồ sơ và hành vi dự định đến người quản lý chính sách. Tài liệu của Apple về hoạt động theo yêu cầu là từ vựng chung cho cuộc trò chuyện đó, và nó ngắn hơn cuộc tranh cãi. Yêu cầu thay đổi chính sách thay vì gỡ bỏ, và cả hai bên giữ được một cấu hình hoạt động.