Mac VPN baterako ibilbide iraunkorrak: networksetup edo konexio-hook bat?

Konexio bakoitzaren ondoren idatzitako ibilbide batek unea konpontzen du, ez astea. macOSen, aukera iraunkorra normalean VPN zerbitzuarekin gordetako aurrizki bat da, zerbitzuak konexio bakoitzean berriro instalatzen baitu eta zerbitzua deskonektatuta dagoenean kentzen baitu. Alternatibak probarako route add bat eta negoziazioaren ondoren soilik ezagutzen diren helbideetarako konexio-hook bat dira.

Erabaki ibilbidea zerbitzuarena edo saioarena den

Galdetu zeren mende dagoen aurrizkia. VPN zerbitzu natibo baten atzean dagoen sare pribatu finkoa bada, ibilbidea zerbitzu horrena da. Konexio bakoitzean aldatzen den pare-helbide baten mende badago, hook batek edo egoerak gidatutako lan batek hobeto jabe izan daiteke. Hurrengo bost minutuetarako bide bat soilik egiaztatzen baduzu, aldi baterako ibilbide bat nahikoa da.

Zerbitzuari lotutako ibilbideak bizitza-ziklo garbiena du. Zerbitzuarekin agertzen da eta zerbitzua konektatuta ez dagoenean desagertzen da, beraz, ezin du erakusten duen tunela baino gehiago iraun. Propietate horrek balio handiagoa du lerro bakarreko komando baten erosotasunak baino.

Saioari lotutako ibilbidea interfazearena da, eta zenbaki hori abisurik gabe aldatzen da. Birkonexio batek utun izen desberdina eman diezaioke tunelari aurreko saioak erabilitakoaren aldean, eta horrek kode gogorreko komandoa ezeri ez edota, okerrago, beste tunel bati erakusten dion ibilbide bihurtzen du.

Irakurri uneko ibilbidearen eta zerbitzuaren egoera

Hasi sistemak benetan erabiltzen dituen izenekin. Sare-ezarpenetako zerbitzuaren izena beheko komandoen identifikatzailea da, eta uneko ibilbide-taulak konektatutako bezeroak instalatu duena erakusten du. Irakurri biak tunela martxan dagoen bitartean.

scutil --nc list
networksetup -listnetworkserviceorder
netstat -rn | head -30
route get 10.20.5.5

Bilaketa horrek nukleoak une honetan helbide honetarako zein atxiki eta interfaze aukeratuko lituzkeen erakusten du. Dagoeneko tunela aukeratzen badu, aurrizkia estalita dago eta ibilbide berria soberan egongo litzateke. Tokiko bideratzailea aukeratzen badu, tunelari aurrizki hori falta zaio.

Ohartu pare-helbidea konektatuta zauden bitartean. Zerbitzuari lotutako ibilbidean atxikiaren balioa bihurtzen da, eta normalean tunelaren ibilbide lehenetsirako erakusten den helmuga da netstat -rn-n.

Gorde aurrizkia networksetup erabiliz

networksetup tresnak ibilbide gehigarriak eransten dizkio sare-zerbitzu bati. OfficeVPN izeneko zerbitzu bat eta tunelaren parearen bidez iristen den aurrizki pribatu batentzat, forma hau da:

sudo networksetup -setadditionalroutes OfficeVPN 10.20.0.0 255.255.0.0 10.8.0.6
networksetup -getadditionalroutes OfficeVPN

Zerbitzuaren ondorengo hirukote bakoitzak helmuga bat, haren sare-maskara eta tunelaren pare-helbidea atxiki gisa ematen ditu. Dei bakar batek hainbat aurrizki eraman ditzake, eta dei huts batek gordetako zerrenda ezabatzen du. Irakurgailua egiaztapen-urratsa da; zerrenda hutsik badago, multzoa ez zaio uste duzun zerbitzuari aplikatu.

Atxikiak tunelaren pare-helbidea izan behar du, ez bideratzaile fisikoa. Atxiki lokala izendatzen duen ibilbideak interfaze fisikotik bidaltzen du aurrizki pribatua, hasierako hutsegitea urrats gehigarriekin. Pare zaharkitua da itxuraz zuzena den ibilbide batek inoiz trafikorik eramaten ez duen arrazoi ohikoena. Irakurri berriro pare-helbidea egoera konektatutik, ohar zahar bateko helbidea kopiatu beharrean.

Erabili route add proba batetarako soilik

Ibilbide zuzena erabilgarria da aurrizki batek funtzionatzen duela frogatzeko, iraunkor bihurtu aurretik. Interfaze-formak atxikiaren bilaketa saihesten du:

sudo route -n add -net 10.20.0.0/16 -interface utun4

Ibilbidea hurrengo birkonexioan desagertzen da eta gaur egun dagoen interfaze-zenbakiaren mende dago. Horrek diagnostiko bihurtzen du, ez inplementazio. Proba funtzionatzen badu eta zerbitzuari lotutako ibilbidea ez, alderatu lehenik atxikiaren balioa; hori da gehienetan oker dagoen eremua.

Kontuz VPNaren ibilbide lehenetsia ordezkatuz banatzea behartzen duten aholkuekin. Tunel osoa inposatzen duen bezero batek bere ibilbideak berriro instala ditzake birkonexio baten edo politika baten freskatze baten ondoren, beraz, eskuzko aldaketa isil-isilik desegiten da. Aurrizki pribatu batzuk bideratze-arazo bat dira; internet trafiko guztia lokalean edukitzea tunel osoko politika baten aurka zerbitzariaren aldeko erabakia da.

Aukeratu hook bat helbidea negoziatzen denean soilik

PPPean oinarritutako esteketarako, adibidez L2TP, macOSek /etc/ppp/ip-up exekutatzen du esteka ezarri ondoren. Scriptak interfazearen izena eta negoziatutako tokiko eta urruneko helbideak jasotzen ditu, beraz, zerbitzariak esleitutako parearen mende dagoen ibilbide bat gehi dezake. Hori da zerbitzu-ibilbide finko batek adierazi ezin duen kasua zehazki.

Baliteke IKEv2k eta saltzaileen bezeroek PPP bide hori batere ez erabiltzea, eta horrek esan nahi du scriptak saio osoan isilik egon daitekeela. Hori gertatzen denean, scutil --nc status galdetzen duen eta egoera-aldaketari erantzuten dion launchd lan bat da mekanismo baliokidea, atzerapen txiki batekin.

Erabiltzen duzun hooka edozein dela ere, egin ezazu idempotente eta utzi sortu dituen ibilbideak soilik kentzen. Tunela aipatzen duen ibilbide guztiak ezabatzen dituen script batek VPN zerbitzaria eskuragarri mantentzen duen ibilbidea ezabatuko du azkenean, eta konexioa eroriko da lortzen duen bezain pronto.

Amaitu helmuga pribatua, ohiko nabigazioa eta birkonexio edo lo-ziklo bat egiaztatuz. Ondoren aztertu scutil --dns, izan ere, izenen ebazpena politika bereizia da eta funtzionatzen duen ibilbide batek ez du frogatzen izen pribatuak ebazten direnik.