OpenVPNi mootor või Tunnelblick: kellele kuulub Maci VPN-seanss?

Homebrew paigaldab OpenVPNi programmi; Tunnelblick paigaldab halduri, mis käivitab ühe või mitu mootorit. Need on erinevad kihid ja kasulik küsimus ei ole see, kas teile meeldib terminali kasutada. Küsimus on selles, kellele kuulub konfiguratsioon, DNS-i muudatused, mandaatide küsimine ja koristamine seansi lõppedes. Üks omanik nende kihtide jaoks teeb seadistuse ettearvatavaks.

Käige allolevad viis kontrolli järjekorras läbi. Esimene, millel on kaks omanikku, tekitab need kummalised pooleldi ühendatud olekud, mille inimesed panevad OpenVPN-i enda süüks. Iga kontroll nimetab tõendi, mis selle otsustab.

Esimene kontroll: milline OpenVPNi binaarfail tegelikult töötab

Käivitage ühendatud olekus pgrep -fl openvpn ja lugege kogu käsurida. Esimene tee on mootor, mis tegelikult töötab. Apple Siliconil asub Homebrew paigaldus tavaliselt /opt/homebrew all, samas kui Intel Macid kasutavad teed /usr/local, ja Tunnelblick käivitab mootori oma rakendusepaketi seest.

Tunnelblick koondab mootorid ja laseb konfiguratsioonil ühe valida. Homebrew valemi uuendamine muudab eraldiseisvat binaarfaili, mitte mootorit, mille Tunnelblecki profiil käivitab. Kui võrdlete versioone käitumiserinevuse selgitamiseks, võrrelge protsessiloendis olevat mootorit, mitte paketihalduris olevat. Ainuüksi versioonistring ei ütle teile, millise profiili see mootor laadis.

Kopeeritud profiil võib ka panna kaks mootorit identse välja nägema, samal ajal kui need loevad erinevaid faile. Profiili tee käsureal ütleb, millise konfiguratsiooni töötav protsess laadis; redaktoris avatud profiil ei ole tõend. Võrrelge seda teed enne käitumise võrdlemist.

Teine kontroll: kes muudab DNS-i ja marsruute

Mootor võib käivitada OpenVPNi enda up- ja down-direktiive, kuid haldur võib omada sama elutsüklit. Tunnelblecki nimeserveri seaded juhivad selle standardseid ühendamise ja katkestamise skripte, ja kui see integratsioon on lubatud, võidakse profiili konkureerivaid direktiive eirata.

See on oluline, sest DNS on koht, kus töötav tunnel näeb kõige sagedamini katki. Kontrollige ühendatud olekus käsku scutil --dns, pange tähele, milline resolver on esimene, ja kinnitage, et see naaseb pärast katkestamist. Kui profiil loodab DNS-i ise seada, samal ajal kui haldur seda ka haldab, kaotab üks kahest.

Otsustage, milline kiht omab DNS-i enne esimest ühendust, ja seejärel eemaldage kaotav direktiiv, selle asemel et jätta mõlemad alles. Marsruudimuudatused järgivad sama reeglit: üks omanik, konfiguratsioonis nähtav, dokumenteeritud taastamisteega.

Kolmas kontroll: kust mandaadid tulevad

Interaktiivsel küsimisel ja järelevalveta protsessil on erinevad nõuded. Ühe rakenduse salvestatud mandaat ei ole automaatselt teisele protsessile kättesaadav ja halduri külge seotud võtmehoidla üksus võib olla nähtamatu kestast käivitatud eraldiseisvale mootorile.

Loetlege profiili mandaatide allikas: kliendi sertifikaat ja võti, kasutajanime ja parooli küsimine või välise abilise antud märgis. Seejärel kinnitage, et valitud omanik pääseb sellele allikale ilma inimeseta, kui ühendus peab taaskäivituse üle elama.

Neljas kontroll: kes protsessi käivitab, jälgib ja peatab

Eraldiseisev juurutus vajab järelevalvajat, kui see peab tööle jääma. Launchd saab mootori sisse logimisel või nõudmisel käivitada, pärast kokkuvarisemist uuesti käivitada ja puhtalt peatada, kuid keegi peab selle töö kirjutama ja seda omama. Käsu käivitamine terminalis sobib testiks, mitte kasutajale, kes akna sulgeb.

Kui Tunnelblick jääb omanikuks, kasutage selle toetatud juhtelemente teise mootori käivitamise asemel. Homebrew binaarfail käivitab kopeeritud profiiliga iseseisva ühenduse oma konfiguratsiooni ja integratsioonikontekstiga, selle asemel et juhtida olemasolevat Tunnelblecki seanssi.

Ükskõik millise omaniku valite, määratlege, mis juhtub une, võrguvahetuse ja väljalogimise ajal. Haldur tegeleb tavaliselt nende sündmustega; paljas protsess tavaliselt mitte, ja sellest tulenevat aegunud marsruuti või resolverit on lihtne serveririkkeks pidada.

Viies kontroll: kuidas üleandmist kontrollitakse

Testige uut omanikku vana väljalülitatud olekus ja seejärel testige vana uuesti, kui kavatsete selle alles jätta. Privaatne ressurss, mis vastab ühes töövoos ja mitte teises, on tõend puuduva integratsiooni, mitte serveri kohta.

Eraldiseisvale mootorile üleandmiseks kirjutage üles profiili tee, binaarfaili tee, järelevalvaja, DNS-i omanik ja mandaatide allikas. Seejärel kontrollige selles järjekorras privaatset ressurssi, avaliku internetti viivat teed ja puhast katkestamist. Kui DNS või marsruudid jäävad pärast katkestamist alles, ei ole uus omanik valmis.

Tunnelblickile üleandmiseks valige konfiguratsiooni jaoks mootor, lubage kavandatav DNS-integratsioon ja eemaldage profiilidirektiivid, mis sellele vastu seisavad. Seejärel korrake samu kolme kontrolli. Ühendus, mis töötab, kuid jätab resolveri muudetuks, on ebaõnnestunud üleandmine, isegi kui tunnel tõusis.

Pakendamine ei otsusta serveriga ühilduvust. Kontrollige teenuse enda kliendinõudeid ja valige ainult mootor ainult siis, kui kavatsete pakkuda selle haldust.