OpenVPN мотор или Tunnelblick: чија е Mac VPN сесијата?

Homebrew инсталира програма OpenVPN; Tunnelblick инсталира менаџер што стартува еден или повеќе мотори. Тоа се различни слоеви, а корисното прашање не е дали сакате да користите терминал. Туку чии се конфигурацијата, промените на DNS, барањето акредитиви и чистењето кога сесијата ќе заврши. Еден сопственик за тие слоеви е тоа што ја прави поставката предвидлива.

Поминете ги петте проверки подолу по ред. Првата што има два сопственици е таа што ги создава чудните полуповрзани состојби што луѓето му ги припишуваат на самиот OpenVPN. Секоја проверка го именува доказот што ја решава.

Прва проверка: која OpenVPN бинарна датотека навистина работи

Извршете pgrep -fl openvpn додека сте поврзани и прочитајте ја целата командна линија. Првата патека е моторот што навистина работи. На Apple Silicon инсталацијата на Homebrew обично е под /opt/homebrew, додека Intel Mac користат /usr/local, а Tunnelblick стартува мотор од внатрешноста на сопствениот пакет на апликацијата.

Tunnelblick ги групира моторите и ѝ дозволува на конфигурацијата да избере еден. Ажурирањето на формулата на Homebrew ја менува самостојната бинарна датотека, не моторот што го стартува профилот на Tunnelblick. Ако споредувате верзии за да објасните разлика во однесувањето, споредете го моторот во списокот на процеси, а не тој во менаџерот на пакети. Само низата со верзија нема да ви каже кој профил го вчитал тој мотор.

Копиран профил исто така може да направи два мотори да изгледаат идентично додека читаат различни датотеки. Патеката на профилот во командната линија ви кажува која конфигурација ја вчитал процесот што работи; профил отворен во уредувач не е доказ. Споредете ја таа патека пред да го споредувате однесувањето.

Втора проверка: кој ги менува DNS и маршрутите

Моторот може да ги извршува сопствените up и down директиви на OpenVPN, но менаџерот може да го поседува истиот животен циклус. Поставките за сервер на имиња на Tunnelblick ги контролираат неговите стандардни скрипти за поврзување и прекин, и кога таа интеграција е овозможена, конкурентните директиви во профилот може да се игнорираат.

Тоа е важно зашто DNS е местото каде што работен тунел најчесто изгледа расипан. Проверете scutil --dns додека сте поврзани, забележете кој резолвер е прв и потврдете дека се враќа по прекинот. Ако профилот очекува сам да го постави DNS, а менаџерот исто така го управува, еден од двата ќе изгуби.

Одлучете кој слој го поседува DNS пред првото поврзување, потоа отстранете ја губитната директива наместо да ги оставите двете. Промените на маршрутите го следат истото правило: еден сопственик, видлив во конфигурацијата, со документирана патека за враќање.

Трета проверка: од каде доаѓаат акредитивите

Интерактивното барање и процесот без надзор имаат различни барања. Акредитивот што го зачувал една апликација не е автоматски достапен за друг процес, а ставката во привезокот со клучеви ограничена на менаџерот може да биде невидлива за самостоен мотор стартуван од школка.

Наведете го изворот на акредитиви за профилот: клиентски сертификат и клуч, барање за корисничко име и лозинка или токен обезбеден од надворешен помошник. Потоа потврдете дека избраниот сопственик може да стигне до тој извор без човек ако врската треба да преживее рестартирање.

Четврта проверка: кој го стартува, надгледува и запира процесот

Самостојното распоредување бара надгледувач ако треба да остане активно. Launchd може да го стартува моторот при најава или по барање, да го рестартира по пад и чисто да го запре, но некој мора да ја напише таа задача и да ја поседува. Извршувањето на командата во терминал работи за тест, а не за корисник што го затвора прозорецот.

Ако Tunnelblick остане сопственик, користете ги неговите поддржани контроли наместо да стартувате втор мотор. Бинарната датотека од Homebrew, со копиран профил, отвора независна врска со сопствена конфигурација и контекст на интеграција наместо да командува со постоечката сесија на Tunnelblick.

Кој и сопственик да изберете, дефинирајте што се случува при спиење, промена на мрежата и одјавување. Менаџерот обично се справува со тие настани; голиот процес обично не, и добиената застарена маршрута или резолвер лесно се чита погрешно како дефект на серверот.

Петта проверка: како се проверува предавањето

Тестирајте го новиот сопственик со исклучен стариот, потоа тестирајте го стариот повторно ако планирате да го задржите. Приватен ресурс што одговара во еден работен тек, а во другиот не, е доказ за интеграцијата што недостасува, а не за серверот.

За предавање на самостоен мотор запишете ја патеката на профилот, патеката на бинарната датотека, надгледувачот, сопственикот на DNS и изворот на акредитиви. Потоа по тој ред проверете го приватниот ресурс, патеката до јавниот интернет и чистиот прекин. Ако по прекинот останат DNS или маршрути, новиот сопственик уште не е готов.

За предавање на Tunnelblick изберете го моторот за конфигурацијата, овозможете ја саканата DNS интеграција и отстранете ги директивите на профилот што ѝ се спротивставуваат. Потоа повторете ги истите три проверки. Врска што работи, но го остава резолверот изменет, е неуспешно предавање, дури и ако тунелот се подигнал.

Пакувањето не ја решава компатибилноста со серверот. Проверете ги сопствените клиентски барања на услугата и изберете го само моторот само кога имате намера да го обезбедите неговото управување.