OpenVPN-motor vagy Tunnelblick: kié a Mac VPN-munkamenete?

A Homebrew egy OpenVPN-programot telepít; a Tunnelblick egy felügyelőt telepít, amely egy vagy több motort futtat. Ezek különböző rétegek, és a hasznos kérdés nem az, hogy szeret-e terminált használni. Hanem az, hogy kié a konfiguráció, a DNS-változások, a hitelesítő adatok bekérése és a tisztítás a munkamenet végén. Egyetlen tulajdonos ezeknél a rétegeknél teszi kiszámíthatóvá a beállítást.

Haladjon végig az alábbi öt ellenőrzésen sorrendben. Az első, amelynek két tulajdonosa van, az hozza létre a furcsa félig csatlakozott állapotokat, amelyekért az emberek magát az OpenVPN-t hibáztatják. Minden ellenőrzés megnevezi a bizonyítékot, amely eldönti.

Első ellenőrzés: melyik OpenVPN bináris fut valójában

Csatlakozott állapotban futtassa a pgrep -fl openvpn parancsot, és olvassa el a teljes parancssort. Az első útvonal az a motor, amely valójában fut. Apple Siliconon a Homebrew-telepítés általában a /opt/homebrew alatt található, míg az Intel Macek a /usr/local útvonalat használják, a Tunnelblick pedig a saját alkalmazáscsomagjából futtat motort.

A Tunnelblick motorokat csomagol, és a konfiguráció kiválaszthat egyet. A Homebrew-formula frissítése az önálló binárist változtatja meg, nem azt a motort, amelyet egy Tunnelblick-profil indít. Ha verziókat hasonlít össze egy viselkedésbeli különbség magyarázatához, a folyamatlistában lévő motort hasonlítsa össze, ne a csomagkezelőben lévőt. A verziószöveg önmagában nem mondja meg, melyik profilt töltötte be az a motor.

Egy másolt profil azt is elérheti, hogy két motor azonosnak tűnjön, miközben különböző fájlokat olvasnak. A parancssorban szereplő profilútvonal megmondja, melyik konfigurációt töltötte be a futó folyamat; a szerkesztőben megnyitott profil nem bizonyíték. A viselkedés összehasonlítása előtt hasonlítsa össze ezt az útvonalat.

Második ellenőrzés: ki változtatja a DNS-t és az útvonalakat

A motor futtathatja az OpenVPN saját up és down direktíváit, de a felügyelő ugyanannak az életciklusnak a tulajdonosa lehet. A Tunnelblick névszerver-beállításai vezérlik a szabványos csatlakozási és bontási szkriptjeit, és ha ez az integráció engedélyezve van, a profilban lévő versengő direktívák figyelmen kívül maradhatnak.

Ez azért fontos, mert a DNS az a hely, ahol egy működő alagút a leggyakrabban töröttnek látszik. Csatlakozott állapotban ellenőrizze a scutil --dns parancsot, jegyezze meg, melyik feloldó az első, és erősítse meg, hogy a bontás után visszatér. Ha a profil maga akarja beállítani a DNS-t, miközben a felügyelő is kezeli, akkor a kettő közül az egyik veszít.

Az első csatlakozás előtt döntse el, melyik réteg tulajdonolja a DNS-t, majd távolítsa el a vesztes direktívát ahelyett, hogy mindkettőt a helyén hagyná. Az útvonalváltozások ugyanazt a szabályt követik: egy tulajdonos, a konfigurációban látható, dokumentált helyreállítási útvonallal.

Harmadik ellenőrzés: honnan jönnek a hitelesítő adatok

Az interaktív kérés és a felügyelet nélküli folyamat követelményei eltérnek. Az egyik alkalmazás által mentett hitelesítő adat nem érhető el automatikusan egy másik folyamat számára, és a felügyelőhöz kötött kulcskarika-elem láthatatlan lehet egy héjból indított önálló motor számára.

Sorolja fel a profil hitelesítőadat-forrását: ügyféltanúsítvány és kulcs, felhasználónév- és jelszókérés, vagy egy külső segítő által adott token. Ezután erősítse meg, hogy a kiválasztott tulajdonos ember nélkül is eléri ezt a forrást, ha a kapcsolatnak túl kell élnie egy újraindítást.

Negyedik ellenőrzés: ki indítja, felügyeli és állítja le a folyamatot

Az önálló telepítésnek felügyelőre van szüksége, ha fenn kell maradnia. A Launchd elindíthatja a motort bejelentkezéskor vagy igény szerint, újraindíthatja egy összeomlás után, és tisztán leállíthatja, de valakinek meg kell írnia és birtokolnia kell ezt a feladatot. A parancs terminálban való futtatása teszthez működik, nem olyan felhasználóhoz, aki bezárja az ablakot.

Ha a Tunnelblick marad a tulajdonos, használja annak támogatott vezérlőit, ne indítson második motort. A Homebrew bináris másolt profillal önálló kapcsolatot nyit a saját konfigurációjával és integrációs környezetével, ahelyett hogy a meglévő Tunnelblick-munkamenetet vezérelné.

Bármelyik tulajdonost választja, határozza meg, mi történik alvás, hálózatváltás és kijelentkezés esetén. A felügyelő általában kezeli ezeket az eseményeket; a csupasz folyamat általában nem, és az így keletkező elavult útvonal vagy feloldó könnyen szerverhibának olvasható.

Ötödik ellenőrzés: hogyan igazolható az átadás

Tesztelje az új tulajdonost a régi kikapcsolásával, majd tesztelje újra a régit, ha meg kívánja tartani. Egy privát erőforrás, amely az egyik munkafolyamatban válaszol, a másikban nem, a hiányzó integrációra utaló bizonyíték, nem a szerverre.

Az önálló motorra való átadáshoz jegyezze fel a profil útvonalát, a bináris útvonalát, a felügyelőt, a DNS tulajdonosát és a hitelesítő adatok forrását. Ezután ebben a sorrendben ellenőrizze a privát erőforrást, a nyilvános internet felé vezető útvonalat és a tiszta bontást. Ha a bontás után DNS vagy útvonalak maradnak, az új tulajdonos még nem végzett.

A Tunnelblickre való átadáshoz válassza ki a konfiguráció motorját, engedélyezze a kívánt DNS-integrációt, és távolítsa el az azt ellenző profil-direktívákat. Ezután ismételje meg ugyanazt a három ellenőrzést. Az a kapcsolat, amely működik, de a feloldót megváltozva hagyja, sikertelen átadás, még ha az alagút fel is jött.

A csomagolás nem dönti el a szerverkompatibilitást. Ellenőrizze a szolgáltatás saját klienskövetelményeit, és csak akkor válassza önmagában a motort, ha szándékában áll ellátni a felügyeletét.