VPN schakelt internet uit – One More Thing
VPN schakelt internet uit
Na de upgrade naar El Capitain heb ik een raar probleem. Met VPN (Forticlient SSL VPN) maak ik verbinding met mijn werk en log in via Citrix, alles werkt gewoon naar behoren.
Alleen worden overige Mac's in mijn netwerk afgesloten van internet. Wanneer ik de Airport configuratie open, zie ik ook dat Internet op rood staat (niet verbonden). Maar de VPN blijft gewoon werken. Wanneer ik de VPN afmeld, komt de internetlijn gewoon weer terug en wordt groen en alles werkt weer.
In een VPN profiel kan worden opgegeven of de VPN 'split horizon' (split tunneling) moet toelaten, waarbij alleen VPN verkeer naar de VPN tunnel gaat. Het alternatief is dat al het verkeer de tunnel in gaat. Je kunt internet dan alleen via het VPN bereiken, het hangt er natuurlijk van af of er in het VPN überhaupt een route naar de buitenwereld is en of de beheerder van het VPN dat voor jouw tunnel toe staat.
Ik ken de FortiClient oplossing niet, maar in de Mac VPN (in geval dat je die gebruikt voor een VPN verbinding) adapter zit een vinkje 'send all traffic over VPN'. Als je deze uitzet dan heb je een split horizon configuratie.
Mogelijk dat er met de upgrade naar El Capitan (ik draai hem nog niet) er iets is gewijzigd in de VPN instellingen.
Bedankt voor de input, ik ga even kijken of ik iets kan vinden!
Net een testje gedaan door een VPN met de Windows laptop van het werk op te zetten en dat gaat goed, dan blijft internet beschikbaar op de iMac. Dus het lijkt idd iets te zijn wat er gebeurd na de installatie van El Capitain.
Hmmmm, ik zie die optie idd staan bij een VPN verbinding die je via de Mac maakt maar niet bij de Forticlient console……..
Is er nog iemand die wellicht een oplossing weet??
Vraag de beheerder van je VPN even, het kan een afgedwongen policy zijn die mogelijk onder Yosemite niet goed werkte maar nu wel.
Daar heb ik ook aan gedacht, maar via mijn Mac heb ik geen ondersteuning door ons IT bedrijf. Alleen via de Windows laptop van de zaak en die doet het goed…….
Ja die houding ken ik erg goed. Onze hut is ook Windows only, Mac users krijgen wel een Mac maar zijn overgeleverd aan de Goden…
Wat je moet doen is een concrete ja/nee vraag stellen aan je IT support afdeling: klopt het dat jullie centraal 'split tunneling' forceren op mijn VPN profiel? Dan kunnen ze je niet afpoeieren met "maar het is een mac"…
Yep, dat had ik ook al bedacht!
Maar om het nog wat vreemder te maken……… het probleem doet zich alleen bij de iMac en MacBooks voor. Wanneer ik op iPhone Airport configuratie open, dan is internet gewoon beschikbaar en werkt. Als ik print vanuit de Citrix omgeving naar mijn WiFi HP printer, doet ie 't gewoon. Dus 't lijkt wel ergens iets te zijn in El Capitain.
Dat is logisch, de VPN verbinding en de aanhangende routering (al dan niet split tunneling) gebeurd op je macbook. Alle andere apparaten die in je lokale netwerk hangen hebben daar geen last van (tenzij je thuis router de VPN verbinding opzet, maar volgens mij is dat niet zo maar corrigeer me als ik dat verkeerd begrepen heb).
Kleine extra update, andere MacBooks worden niet van de WiFi afgehaald. Dat leek zo omdat ik mijn probleem constateerde en mijn vrouw begon te roepen dat de e-mail niet meer binnenkwam. Maar dat waren 2 losse problemen, blijkt nu.
Net even eigen MacBook getest en idd, zodra ik VPN aanzet geen internet meer. Dus op het apparaat dat de verbinding maakt.
Wat ook het probleem kan zijn is dat je wel goede split tunneling hebt, maar dat de DNS niet goed gaat en dat externe requests nu ook naar de DNS servers op het VPN gaan en dat die geen antwoord geven…
Dit kan je testen: start op je MacBook het VPN, check of je internet hebt (nee waarschijnlijk), open je Terminal en doe een 'ping 8.8.8.8' (dit test je internet connectiviteit zonder DNS door een machine bij Google (toevallig de DNS, maar dat staat hier los van) te pingen op IP zonder tussenkomst van DNS.
Volgens mij krijg ik idd respons…. zie schermafdruk
Hangt je Mac aan AD?
Sorry, ik weet even niet wat je met AD bedoeld?
7 oktober 2015 om 14:51
Ik weet er niet veel van, maar volgens mij wordt hier op het Fortinet-forum ook al druk over gebabbeld:
https://forum.fortinet.com/m/tm.aspx?m=129626
Yep, je krijgt een reactie met een paar timeouts
Ok dan heeft je Mac dus geen split tunnel maar mogelijk last van split dns, waardoor het opvragen van VPN hostnames wel goed gaat maar publieke hostnames niet. Je moet je dus even focussen op de DNS instellingen op de VPN verbinding. Gezien de link van IGBA lijkt het iets van El Capitan en Fortinet.
Nogmaals: ik ken de constructie van Fortinet niet, creëert het ding bijvoorbeeld een systeem VPN interface waar je DNS op zou kunnen instellen?
Als ik de discussie doorlees op het Fortinet Forum dan is het wel duidelijk dat het idd in de update naar El Capitain zit, thx IGBA voor de link!
Ik kan verder niets vinden wat Fortinet nu precies doet en vind ook geen systeem VPN actief als die draait. Maar ik ga ervan uit dat er binnenkort wel een update komt die het probleem verhelpt, ben niet de enige gelukkig…….
Bedankt voor de input Odiebla en het meedenken!!
Kijk eens in je netwerk instellingen (Appeltje, System Preferences, Network). Je ziet dan iets als in mijn screenshotje. Links zie je een paar adapters met een slotje, dit zijn mijn VPN adapters. Het KAN zijn dat jij die niet hebt, niet elke VPN oplossing gebruikt deze. Heb je er wel een voor je Fortinet client dan kun je erop klikken en onder Advanced het tabblad 'DNS' aanvinken. Als je dit kan doen, laat even weten wat hier staat…