Gonilnik OpenVPN ali Tunnelblick: kdo ima v lasti sejo VPN na Macu?

Homebrew namesti program OpenVPN; Tunnelblick namesti upravitelj, ki izvaja enega ali več gonilnikov. To so različne plasti in vprašanje ni, ali radi uporabljate terminal. Vprašanje je, kdo ima v lasti konfiguracijo, spremembe DNS, zahtevo za poverilnice in čiščenje ob koncu seje. En sam lastnik teh plasti naredi nastavitev predvidljivo.

Pojdite skozi pet preverjanj spodaj po vrsti. Prvo, ki ima dva lastnika, ustvari tista čudna napol povezana stanja, ki jih ljudje pripišejo kar OpenVPN samemu. Vsako preverjanje navede dokaz, ki ga razreši.

Prvo preverjanje: katera binarna datoteka OpenVPN v resnici teče

Zaženite pgrep -fl openvpn, medtem ko ste povezani, in preberite celotno ukazno vrstico. Prva pot je gonilnik, ki v resnici teče. Na Apple Silicon je namestitev Homebrew običajno v /opt/homebrew, medtem ko Intel Maci uporabljajo /usr/local, Tunnelblick pa izvaja gonilnik iz svojega lastnega paketa aplikacije.

Tunnelblick vključuje gonilnike in konfiguraciji omogoča, da izbere enega. Posodobitev formule Homebrew spremeni samostojno binarno datoteko, ne gonilnika, ki ga zažene profil Tunnelblick. Če primerjate različice, da bi pojasnili razliko v vedenju, primerjajte gonilnik na seznamu procesov in ne tistega v upravitelju paketov. Sama niz različice vam ne pove, kateri profil je ta gonilnik naložil.

Kopiran profil lahko tudi naredi, da sta dva gonilnika videti enaka, medtem ko bereta različne datoteke. Pot profila v ukazni vrstici pove, katero konfiguracijo je naložil tekoči proces; profil, odprt v urejevalniku, ni dokaz. Primerjajte to pot, preden primerjate vedenje.

Drugo preverjanje: kdo spreminja DNS in poti

Gonilnik lahko izvaja lastne direktive up in down OpenVPN, vendar ima lahko upravitelj v lasti isti življenjski cikel. Nastavitve imenskega strežnika v Tunnelblicku nadzorujejo njegove standardne skripte za povezavo in prekinitev, in ko je ta integracija omogočena, so lahko konkurenčne direktive v profilu prezrte.

To je pomembno, ker je DNS kraj, kjer delujoč tunel najpogosteje izgleda pokvarjen. Preverite scutil --dns, medtem ko ste povezani, zabeležite, kateri razreševalnik je prvi, in potrdite, da se po prekinitvi vrne. Če profil pričakuje, da bo DNS nastavil sam, medtem ko ga upravlja tudi upravitelj, bo eden od dveh izgubil.

Odločite, katera plast ima v lasti DNS pred prvo povezavo, nato odstranite izgubljajočo direktivo, namesto da pustite obe. Spremembe poti sledijo istemu pravilu: en lastnik, viden v konfiguraciji, z dokumentirano potjo obnovitve.

Tretje preverjanje: od kod prihajajo poverilnice

Interaktivna zahteva in proces brez nadzora imata različne zahteve. Poverilnice, ki jih shrani ena aplikacija, niso samodejno na voljo drugemu procesu, in element zbirke ključev, omejen na upravitelja, je lahko neviden samostojnemu gonilniku, zagnanemu iz lupine.

Naštejte vir poverilnic za profil: odjemalski certifikat in ključ, zahtevo za uporabniško ime in geslo ali žeton, ki ga zagotovi zunanji pomočnik. Nato potrdite, da lahko izbrani lastnik doseže ta vir brez človeka, če mora povezava preživeti ponoven zagon.

Četrto preverjanje: kdo zažene, nadzoruje in ustavi proces

Samostojna namestitev potrebuje nadzornika, če mora ostati v teku. Launchd lahko zažene gonilnik ob prijavi ali na zahtevo, ga po sesutju znova zažene in čisto ustavi, vendar mora nekdo to nalogo napisati in jo imeti v lasti. Izvajanje ukaza v terminalu deluje za preizkus in ne za uporabnika, ki zapre okno.

Če Tunnelblick ostane lastnik, uporabite njegove podprte kontrolnike, namesto da zaženete drugi gonilnik. Binarna datoteka Homebrew s kopiranim profilom odpre neodvisno povezavo z lastno konfiguracijo in kontekstom integracije, namesto da bi upravljala obstoječo sejo Tunnelblick.

Ne glede na izbranega lastnika določite, kaj se zgodi pri spanju, spremembi omrežja in odjavi. Upravitelj običajno obravnava te dogodke; goli proces običajno ne, in nastala zastarela pot ali razreševalnik se zlahka napačno razbereta kot okvara strežnika.

Peto preverjanje: kako se preveri predaja

Preizkusite novega lastnika z izklopljenim starim, nato znova preizkusite starega, če ga nameravate obdržati. Zasebni vir, ki se odzove v enem delovnem toku in ne v drugem, je dokaz o manjkajoči integraciji, ne o strežniku.

Za predajo samostojnemu gonilniku zabeležite pot profila, pot binarne datoteke, nadzornika, lastnika DNS in vir poverilnic. Nato v tem vrstnem redu preverite zasebni vir, pot v javni internet in čisto prekinitev. Če po prekinitvi ostanejo DNS ali poti, novi lastnik še ni končal.

Za predajo Tunnelblicku izberite gonilnik za konfiguracijo, omogočite predvideno integracijo DNS in odstranite direktive profila, ki ji nasprotujejo. Nato ponovite iste tri preizkuse. Povezava, ki deluje, a pusti razreševalnik spremenjen, je neuspešna predaja, tudi če se je tunel dvignil.

Pakiranje ne odloča o združljivosti s strežnikom. Preverite lastne zahteve storitve do odjemalca in izberite samo gonilnik le, ko nameravate zagotoviti njegovo upravljanje.