OpenVPN-enjin of Tunnelblick: wie besit die Mac VPN-sessie?

Homebrew installeer ’n OpenVPN-program; Tunnelblick installeer ’n bestuurder wat een of meer enjins laat loop. Dit is verskillende lae, en die nuttige vraag is nie of jy daarvan hou om ’n terminaal te gebruik nie. Dit is wie die konfigurasie, die DNS-veranderinge, die versoek om geloofsbriewe en die opruiming besit wanneer die sessie eindig. ’n Enkele eienaar vir daardie lae is wat die opstelling voorspelbaar maak.

Werk die vyf kontroles hieronder in volgorde deur. Die eerste een wat twee eienaars het, is die een wat die vreemde halfgekoppelde toestande veroorsaak wat mense aan OpenVPN self wys. Elke kontrole noem die bewyse wat dit beslis.

Kontrole een: watter OpenVPN-program werklik loop

Voer pgrep -fl openvpn uit terwyl jy gekonnekteer is en lees die volle opdragreël. Die eerste pad is die enjin wat werklik loop. Op Apple Silicon woon ’n Homebrew-installasie gewoonlik onder /opt/homebrew, terwyl Intel-Macs /usr/local gebruik, en Tunnelblick laat ’n enjin van binne sy eie toepassingsbundel loop.

Tunnelblick bundel enjins en laat ’n konfigurasie een kies. Om die Homebrew-formule op te dateer verander die selfstandige binêre lêer, nie die enjin wat ’n Tunnelblick-profiel begin nie. As jy weergawes vergelyk om ’n gedragsverskil te verduidelik, vergelyk die enjin in die prosesselys eerder as die een in die pakketbestuurder. Die weergawestring alleen sal jou nie vertel watter profiel daardie enjin gelaai het nie.

’n Gekopieerde profiel kan ook twee enjins identies laat lyk terwyl hulle verskillende lêers lees. Die profielpad in die opdragreël vertel jou watter konfigurasie die lopende proses gelaai het; ’n profiel wat in ’n redigeerder oop is, is nie bewyse nie. Vergelyk daardie pad voordat jy gedrag vergelyk.

Kontrole twee: wie verander DNS en roetes

Die enjin kan OpenVPN se eie op- en af-aanwysings uitvoer, maar die bestuurder kan dieselfde lewensiklus besit. Tunnelblick se naambediener-instellings beheer sy standaard verbindings- en ontkoppelingsskripte, en wanneer daardie integrasie geaktiveer is, kan mededingende aanwysings in die profiel geïgnoreer word.

Dit maak saak omdat DNS die plek is waar ’n werkende tonnel die meeste lyk of dit stukkend is. Kontroleer scutil --dns terwyl jy gekonnekteer is, let op watter oplosser eerste is en bevestig dat dit ná ontkoppeling terugkeer. As die profiel verwag om DNS self te stel terwyl die bestuurder dit ook bestuur, sal een van die twee verloor.

Besluit watter laag DNS besit voor die eerste verbinding, en verwyder dan die verlore aanwysings eerder as om albei in plek te laat. Roeteveranderinge volg dieselfde reël: een eienaar, sigbaar in die konfigurasie, met ’n gedokumenteerde herstelpad.

Kontrole drie: waar geloofsbriewe vandaan kom

’n Interaktiewe versoek en ’n onbewaakte proses het verskillende vereistes. ’n Geloofsbrief wat deur een toepassing gestoor is, is nie outomaties vir ’n ander proses beskikbaar nie, en ’n sleutelbos-item wat op die bestuurder gemik is, kan onsigbaar wees vir ’n selfstandige enjin wat uit ’n skel begin is.

Lys die geloofsbriefbron vir die profiel: ’n kliëntsertifikaat en sleutel, ’n versoek vir gebruikersnaam en wagwoord, of ’n token wat deur ’n eksterne helper verskaf word. Bevestig dan dat die gekose eienaar daardie bron sonder ’n mens kan bereik as die verbinding ’n herbegin moet oorleef.

Kontrole vier: wie begin, hou toesig oor en stop die proses

’n Selfstandige ontplooiing het ’n toesighouer nodig as dit aan die gang moet bly. Launchd kan die enjin by aanmelding of op aanvraag begin, dit ná ’n ineenstorting herbegin en dit netjies stop, maar iemand moet daardie taak skryf en besit. Om die opdrag in ’n terminaal te laat loop werk vir ’n toets en nie vir ’n gebruiker wat die venster toemaak nie.

As Tunnelblick die eienaar bly, gebruik sy ondersteunde beheermaatreëls eerder as om ’n tweede enjin te begin. Die Homebrew-binêre lêer begin, met ’n gekopieerde profiel, ’n onafhanklike verbinding met sy eie konfigurasie en integrasiekonteks eerder as om die bestaande Tunnelblick-sessie te beveel.

Watter eienaar jy ook kies, definieer wat gebeur met slaap, netwerkverandering en afmelding. ’n Bestuurder hanteer gewoonlik daardie gebeurtenisse; ’n kaal proses doen dit gewoonlik nie, en die gevolglike verouderde roete of oplosser is maklik om as ’n bedienerfout te mislees.

Kontrole vyf: hoe die oordrag geverifieer word

Toets die nuwe eienaar met die ou een gedeaktiveer, en toets dan die ou eienaar weer as jy van plan is om dit te hou. ’n Privaat hulpbron wat onder een werkvloei antwoord en onder die ander nie, is bewyse oor die ontbrekende integrasie, nie oor die bediener nie.

Vir ’n oordrag na ’n selfstandige enjin, teken die profielpad, die binêre pad, die toesighouer, die DNS-eienaar en die geloofsbriefbron aan. Verifieer dan die privaat hulpbron, die openbare internetpad en ’n skoon ontkoppeling in daardie volgorde. As DNS of roetes ná ontkoppeling bly, is die nuwe eienaar nie klaar nie.

Vir ’n oordrag na Tunnelblick, kies die enjin vir die konfigurasie, aktiveer die DNS-integrasie wat jy bedoel en verwyder profielaanwysings wat daarmee baklei. Herhaal dan dieselfde drie kontroles. ’n Verbinding wat werk maar die oplosser verander laat, is ’n mislukte oordrag, selfs al het die tonnel opgekom.

Verpakking beslis nie bediener-versoenbaarheid nie. Kontroleer die diens se eie kliëntvereistes, en kies die enjin alleen net wanneer jy van plan is om sy bestuur te verskaf.