Mae angen perchennog ar lwybrau VPN ychwanegol Mac, nid sgript fewngofnodi

Cyrraedd rhagddodiad preifat drwy VPN yw gofyniad ag iddo hyd: mae'n dal tra bo'r cysylltiad hwnnw'n ddefnyddiadwy, ac mae'n dod i ben pan ddaw'r cysylltiad i ben. Ni all sgript fewngofnodi fynegi hynny, oherwydd mae mewngofnodi a chodi twmnel yn eiliadau gwahanol, ac efallai nad y twmnel sy'n bodoli wrth fewngofnodi yw'r un sy'n cario traffig munud yn ddiweddarach. Y penderfyniad cyntaf yw nid pa orchymyn i'w redeg. Y penderfyniad yw pa gydran sy'n berchen ar y rhagddodiad.

Mae angen perchennog ar y rhagddodiad, nid eiliad

Dechreuwch drwy ysgrifennu'r gofyniad fel brawddeg â goddrych: cyrhaeddwch 10.77.0.0/24 drwy'r VPN Swyddfa tra bo'r cysylltiad hwnnw i fyny. Mae'r frawddeg honno'n enwi'r rhagddodiad, y cysylltiad a'r amod, ac mae'n gwahardd ar unwaith ddau ddewis poblogaidd: bachyn mewngofnodi ac enw rhyngwyneb fel ppp0 neu utun2.

Mae enwau rhyngwyneb yn cael eu neilltuo ar amser rhedeg ac nid ydynt yn sefydlog rhwng ailgysylltiadau. Bydd bachyn sy'n cyfateb i'r enw a welodd yr wythnos diwethaf naill ai'n methu tanio neu'n tanio yn erbyn rhyngwyneb rhywun arall. Mae'r ddau ganlyniad yn ymddangos fel nam llwybro yn hytrach na'r tybiaeth hen ffasiwn ydynt. Mae'r un gwrthwynebiad yn gymwys i unrhyw sgript sy'n dibynnu ar enw nad yw'n bodoli ond tra bo un twmnel penodol i fyny.

Defnyddiwch ffynhonnell llwybr cefnogol

Y porth, proffil a reolir neu fecanwaith llwybr dogfennedig y cleient sy'n berchen yw'r lle iawn i hyn, pryd bynnag y gall y mecanwaith hwnnw fynegi'r gofyniad. Pa un sy'n gymwys mae'n dibynnu ar y protocol a'r darparwr, ac nid yw'r allweddi'n teithio rhyngddynt, felly nid yw gwerth sy'n ffurfweddu proffil OpenVPN yn dweud dim wrthych am y cleient L2TP neu IKEv2 brodorol.

I ddatblygwyr twmneli pecynnau, mae gosodiadau twmnel IPv4 Apple yn datgelu llwybrau wedi'u cynnwys a'u heithrio yn benodol, ac mae gan IPv6 ei gymar. Mae'r rhain yn API y mae'r darparwr yn eu defnyddio, nid yn dystiolaeth bod pob panel VPN brodorol yn cynnig rhestr llwybrau fympwyol i weinyddwr. Os na all y cyfuniad presennol fynegi'r rhagddodiadau sydd eu hangen arnoch, y cam nesaf yw llwybr ffurfweddu cefnogol gan y gweithredwr, nid ap gwahanol wedi'i osod yn y gobaith y bydd yn ymddwyn yn well.

Mae'r oes yn cynnwys glanhau

Weithiau mae cynorthwyydd allanol wir yn angenrheidiol, a phan fydd, «ychwanegwch y llwybr» yw'r rhan leiaf o'i waith. Rhaid iddo wybod pa gysylltiad y mae'n ei wasanaethu a pha ryngwyneb y mae'r cysylltiad hwnnw'n ei ddefnyddio, aros nes bod y cyflwr rhwydwaith perthnasol yn setlo, aros yn idempotent pan gaiff ei redeg ddwywaith yn olynol, a pheidio â glanhau dim na osododd ef ei hun.

Y cymal olaf yw'r un sy'n brifo. Bydd cynorthwyydd sy'n dileu pob llwybr sy'n cyfateb i ragddodiad y swyddfa, yn hwyr neu'n hwyrach, yn dileu llwybr na ychwanegodd. Mae'r toriad sy'n deillio yn cael ei feio ar y cleient VPN, oherwydd y cleient yw'r rhan y mae'r defnyddiwr yn ei gweld. Mae penderfynu beth y mae cynorthwyydd yn berchen arno cyn ei ysgrifennu yn rhatach na gorfod egluro wedyn pam y peidiodd is-rwydwaith lleol ag ateb.

Ras yr ailgysylltu

Ystyriwch ailgysylltiad cyflym. Mae sesiwn A yn cwympo, mae sesiwn B yn codi ac yn gosod ei llwybr, ac yna mae glanhau oediog A yn rhedeg o'r diwedd. Os yw'r glanhau hwnnw'n tynnu llwybrau yn ôl rhagddodiad, mae'n mynd â chyflwr dilys B gydag ef, ac mae'r cysylltiad a oedd yn gweithio eiliad yn ôl bellach yn llwybro i nunlle.

Ras perchnogaeth yw hon, ac nid yw ychwanegu cysgu i'r sgript yn newid ond pa ochr sy'n ei hennill. Y trwsgl yw gwneud glanhau'n amodol ar hunaniaeth: cymharwch y rhyngwyneb a'r sesiwn a osododd y cynorthwyydd â'r rhai sy'n dal yn gyfredol, a dileu dim ond pan fo cyfatebiaeth.

Beth i'w brofi, a beth na all llwybr ei wneud

Rhaid i'r derbyniad gwmpasu pedair trawsnewid: y cysylltiad cyntaf, ailgysylltu ar ryngwyneb gwahanol, cais cysylltu sy'n methu, a'r datgysylltu terfynol. Ar ôl pob un, darllenwch y llwybr a ddewisodd y system mewn gwirionedd ar gyfer cyfeiriad ar yr ochr bell, nid yr un yr oeddech yn disgwyl iddi ei ddewis.

route -n get 10.77.0.5
netstat -rn -f inet

Cynhwyswch yr achosion anghyfleus yn yr un pas: IPv6 lle bo angen, rhagddodiad lleol sy'n gorgyffwrdd â'r un pell, a'r llwybr i ben draw cyhoeddus y VPN ei hun, sy'n rhaid iddo barhau i weithio tra bo'r twmnel i fyny. Yna nodwch beth nad yw llwybr. Mae'n dewis pecynnau; nid yw'n rhoi caniatâd ar yr ochr bell ac nid yw'n creu llwybr dychwelyd, ac mae'r rheini'n parhau'n ofynion ar wahân gyda pherchnogion ar wahân.

Y canlyniad rydych ei eisiau yw rhagddodiad sy'n dilyn ei berchennog cysylltiad cefnogol drwy bob trawsnewid, yn hytrach na gorchymyn a ddigwyddodd lwyddo unwaith ar y peiriant lle cafodd ei ysgrifennu.