Aukaleiðir Mac VPN þurfa eiganda, ekki innskráningarskript
Leið sem bætt er við einu sinni við innskráningu er ekki endurtengingarstefna. Gefðu fjarlægum forskeysum eiganda og ákveddu hvernig þau birtast, breytast og hverfa með þeirri tengingu.
Að ná einkaforskeyti í gegnum VPN er krafa með tímalengd: hún gildir á meðan sú tenging er nothæf og endar þegar tengingunni lýkur. Innskráningarskript getur ekki tjáð það, því innskráning og uppreisn göngunnar eru ólík augnablik, og gangurinn sem er til við innskráningu er ekki endilega sá sem ber umferð mínútu síðar. Fyrsta ákvörðunin er ekki hvaða skipun á að keyra. Hún er hvaða eining á forskeytið.
Forskeytið þarf eiganda, ekki augnablik
Byrjaðu á að skrifa kröfuna sem setningu með frumlagi: náðu 10.77.0.0/24 í gegnum Skrifstofu-VPN á meðan sú tenging er uppi. Sú setning nefnir forskeytið, tenginguna og skilyrðið, og útilokar strax tvo vinsæla staðgengla: innskráningarhook og viðmótsheiti eins og ppp0 eða utun2.
Viðmótsheiti eru úthlutuð á keyrslutíma og eru ekki stöðug milli endurtenginga. Hook sem passar heitið sem það sá í síðustu viku mun annaðhvort ekki virkjast eða virkjast á viðmót einhvers annars. Báðar niðurstöður líta út eins og villu í leiðsögn frekar en þá úreltu forsendu sem þær eru. Sama andmæli eiga við hvert skript sem er bundið heiti sem er aðeins til á meðan ein tiltekin ganga er uppi.
Notaðu studda uppsprettu leiðaráforms
Gáttin, stýrt sniðmát eða skjalfest leiðakerfi eigandans er rétti staðurinn, hvenær sem það kerfi getur tjáð kröfuna. Hvort á við fer eftir samskiptareglunni og þjónustuveitandanum, og lyklarnir ferðast ekki á milli þeirra, svo gildi sem stillir sniðmát OpenVPN segir þér ekkert um innfædda L2TP- eða IKEv2-biðlara.
| Mechanism | Can carry extra prefixes | Who owns the lifetime |
|---|---|---|
| Gateway-pushed routes | Often, if the gateway is configured for it | The connection |
| Managed profile settings | Depends on the client and profile format | The profile |
| Provider tunnel settings | Yes, as included and excluded routes | The provider process |
| Manual command | Yes, once | Nobody |
Fyrir þróunaraðila pakkaganga sýna IPv4-gangastillingar Apple innifaldar og undanskildar leiðir skýrt, og IPv6 hefur sína hliðstæðu. Þetta eru API sem þjónustuveitandinn notar, ekki sönnun þess að hvert innfætt VPN-spjald bjóði stjórnanda handahófskenndan leiðalista. Ef núverandi samsetning getur ekki tjáð forskeysin sem þú þarft, er næsta skref studd stillingarleið frá rekstraraðilanum, ekki annað forrit sem sett er upp í von um að það hagi sér betur.
Líftíminn felur í sér hreinsun
Stundum er utanaðkomandi aðstoðarmaður sannarlega nauðsynlegur, og þá er «bættu við leiðinni» minnsti hluti starfsins. Hann verður að vita hvaða tengingu hann þjónar og hvaða viðmót sú tenging notar, bíða þess að viðkomandi netástand nái jafnvægi, haldast idempotent þegar hann keyrir tvisvar í röð, og hreinsa ekki neitt sem hann setti ekki upp sjálfur.
Síðasta klausan er sú sem særir. Aðstoðarmaður sem eyðir hverri leið sem passar við skrifstofuforskeytið mun fyrr eða síðar eyða leið sem hann bætti ekki við. Röskunin sem af því hlýst er kennd VPN-biðlaranum, því biðlarinn er sá hluti sem notandinn sér. Að ákveða hvað aðstoðarmaður á fyrirfram er ódýrara en að útskýra síðar hvers vegna staðbundið undirnet hætti að svara.
Kapphlaupið við endurtengingu
Hugsaðu þér hraða endurtengingu. Lotan A dettur, lotan B rís og setur upp leið sína, og þá keyrir seinkuð hreinsun A loksins. Ef sú hreinsun fjarlægir leiðir eftir forskeyti tekur hún gilda stöðu B með sér, og tengingin sem virkaði fyrir sekúndu beinir nú leið í ekkert.
Þetta er kapphlaup um eignarhald, og að bæta svefni í skriptið breytir aðeins hvor aðilinn vinnur það. Lausnin er að gera hreinsun háða auðkenni: berðu saman viðmótið og lotuna sem aðstoðarmaðurinn setti upp við þær sem enn eru í gildi, og fjarlægðu aðeins þegar þær stemma.
Hvað á að prófa, og hvað leið getur ekki gert
Móttaka verður að ná yfir fjórar umskiptingar: fyrstu tenginguna, endurtengingu á annað viðmót, misheppnaða tengingartilraun og lokarof. Eftir hverja þeirra skaltu lesa leiðina sem kerfið valdi í raun fyrir vistfang hinum megin, ekki þá sem þú bjóst við.
route -n get 10.77.0.5
netstat -rn -f inetHafðu óþægilegu tilfellin með í sömu umferð: IPv6 þar sem þess er þörf, staðbundið forskeyti sem skarast við hið fjarlæga, og leiðin að opinberu VPN-endapunktinum sjálfum, sem verður að halda áfram að virka á meðan gangan er uppi. Skrifaðu svo niður hvað leið er ekki. Hún velur pakka; hún veitir ekki leyfi hinum megin og býr ekki til afturleið, og það eru áfram aðskildar kröfur með aðskildum eigendum.
Niðurstaðan sem þú vilt er forskeyti sem fylgir studdum tengingareiganda sínum í gegnum hverja umskiptingu, frekar en skipun sem heppnaðist einu sinni á vélinni þar sem hún var skrifuð.