Rotot persistenti għal VPN tal-Mac: networksetup jew hook tal-konnessjoni?

Rotta li tittajpja wara kull rikonnessjoni mhix politika. Iddeċiedi jekk il-prefiss jappartjenix lis-servizz VPN, għal test temporanju jew għal hook għal indirizzi li jsiru magħrufa biss wara n-negozjar.

Rotta li tittajpja wara kull konnessjoni ssolvi l-mument u mhux il-ġimgħa. Fuq macOS, l-għażla dejjiema normalment hija prefiss maħżun mas-servizz VPN, għax is-servizz jinstallah mill-ġdid f'kull konnessjoni u jneħħih meta s-servizz ikun waqaf. L-alternattivi huma route add temporanju għat-testjar u hook tal-konnessjoni għal indirizzi li jsiru magħrufa biss wara n-negozjar.

Iddeċiedi jekk ir-rotta tappartjenix lis-servizz jew lis-sessjoni

Staqsi minn xiex jiddependi l-prefiss. Jekk hija netwerk privat fiss wara servizz VPN nattiv, ir-rotta tappartjeni lil dak is-servizz. Jekk tiddependi minn indirizz tal-pari li jinbidel f'kull konnessjoni, hook jew xogħol immexxi mill-istat jistgħu jkunu sid aħjar. Jekk qed tittestja biss triq għall-ħames minuti li ġejjin, rotta temporanja hija biżżejjed.

Ir-rotta marbuta mas-servizz għandha l-aktar ċiklu tal-ħajja nadif. Tidher mas-servizz u tisparixxi meta s-servizz ma jkunx konness, għalhekk ma tistax tgħix aktar mit-tunnel li lejh tindika. Dik il-proprjetà tiswa aktar mill-konvenjenza ta' kmand ta' linja waħda.

Rotta marbuta mas-sessjoni tappartjeni lill-interface, u dak in-numru jinbidel mingħajr avviż. Rikonnessjoni tista' tagħti lit-tunnel isem utun differenti minn dak li użat is-sessjoni preċedenti, li jbiddel kmand hardcoded f'rotta li ma tindika xejn jew, agħar, tunnel ieħor.

Aqra l-istat attwali tar-rotta u tas-servizz

Ibda bl-ismijiet li s-sistema fil-fatt tuża. L-isem tas-servizz f'Settings tan-Netwerk huwa l-identifikatur għall-kmandi hawn taħt, u t-tabella tar-rotot attwali turi x'installa l-klijent konness. Aqra t-tnejn waqt li t-tunnel ikun attiv.

scutil --nc list
networksetup -listnetworkserviceorder
netstat -rn | head -30
route get 10.20.5.5

Dik it-tfittxija turi liema gateway u interface l-qalba tagħżel għal dan l-indirizz f'dan il-mument. Jekk diġà qed jagħżel it-tunnel, il-prefiss huwa kopert u rotta ġdida tkun żejda. Jekk qed jagħżel ir-router lokali, it-tunnel nieqes minn dak il-prefiss.

Innota l-indirizz tal-pari waqt li tkun konness. Isir il-valur tal-gateway fir-rotta marbuta mas-servizz, u normalment huwa d-destinazzjoni murija għar-rotta default tat-tunnel f'netstat -rn.

Aħżen il-prefiss b'networksetup

L-għodda networksetup tqabbad rotot addizzjonali ma' servizz tan-netwerk. Għal servizz bl-isem OfficeVPN u prefiss privat li jintlaħaq permezz tal-pari tat-tunnel, il-forma hija:

sudo networksetup -setadditionalroutes OfficeVPN 10.20.0.0 255.255.0.0 10.8.0.6
networksetup -getadditionalroutes OfficeVPN

Kull tlieta wara l-isem tas-servizz tagħti destinazzjoni, il-mask tan-netwerk tagħha u l-pari tat-tunnel bħala gateway. Sejħa waħda tista' ġġorr diversi prefissi, u sejħa vojta tħassar il-lista maħżuna. Il-qarrej huwa l-pass ta' verifika; jekk il-lista hija vojta, is-sett ma ġiex applikat għas-servizz li taħseb.

Il-gateway irid ikun il-pari tat-tunnel, mhux ir-router fiżiku. Rotta li semmi l-gateway lokali tibgħat il-prefiss privat barra mill-interface fiżika, li hija l-falliment oriġinali b'passi żejda. Pari antik huwa l-aktar raġuni komuni li rotta li tidher korretta qatt ma ġġorr traffiku. Aqra mill-ġdid il-pari mill-istat konness minflok ma tikkopja indirizz minn nota antika.

Uża route add biss għal test

Rotta diretta hija utli biex tipprova li prefiss jaħdem qabel ma tagħmilha permanenti. Il-forma tal-interface tevita tfittxija tal-gateway:

sudo route -n add -net 10.20.0.0/16 -interface utun4

Ir-rotta tispiċċa fir-rikonnessjoni li jmiss u tiddependi min-numru tal-interface li jeżisti llum. Dan jagħmilha dijanjostika, mhux installazzjoni. Jekk it-test jaħdem u r-rotta marbuta mas-servizz le, qabbel l-ewwel il-valur tal-gateway; dak huwa l-qasam li spiss ikun żbaljat.

Oqgħod attent bl-avviżi li jissostitwixxu r-rotta default tal-VPN biex iġiegħlu aġir ta' qsim. Klijent li jinfurza tunnel sħiħ jista' jerġa' jinstalla r-rotot tiegħu wara rikonnessjoni jew aġġornament tal-politika, għalhekk il-bidla manwali tiġi annullata bil-kwiet. Ftit prefissi privati hija problema ta' routing; li żżomm it-traffiku kollu tal-internet lokali kontra politika ta' tunnel sħiħ hija deċiżjoni min-naħa tas-server.

Agħżel hook biss meta l-indirizz jiġi nnegozjat

Għal konnessjonijiet ibbażati fuq PPP bħal L2TP, macOS tesegwixxi /etc/ppp/ip-up ladarba l-konnessjoni tiġi stabbilita. L-iskript jirċievi l-isem tal-interface u l-indirizzi lokali u remota nnegozjati, għalhekk jista' jżid rotta li tiddependi mill-pari li assenja s-server. Dak huwa eżattament il-każ li rotta fissa tas-servizz ma tistax tesprimi.

IKEv2 u klijenti tal-fornituri jistgħu ma jużawx dik it-triq PPP xejn, li jfisser li l-iskript jista' jibqa' sieket għas-sessjoni kollha. Meta jiġri dan, kompitu launchd li jistaqsi lil scutil --nc status u jaġixxi fuq bidla fl-istat huwa l-mekkaniżmu ekwivalenti, b'dewmien żgħir.

Liema hook tuża, agħmilha idempotenti u ħalliha tneħħi biss ir-rotot li ħolqot hi stess. Skript li jħassar kull rotta li ssemmi t-tunnel eventwalment iħassar ir-rotta li żżomm is-server VPN aċċessibbli, u l-konnessjoni taqa' malli tirkupra.

Iffinalizza billi tiċċekkja d-destinazzjoni privata, il-browsing normali u ċiklu ta' rikonnessjoni jew irqad. Imbagħad spezzjona scutil --dns, għax ir-riżoluzzjoni tal-ismijiet hija politika separata u rotta li taħdem ma tipprovax li l-ismijiet privati jiġu riżolti.

Artikli relatati