Rrugët shtesë të VPN-së në Mac kanë nevojë për një pronar, jo për një skript hyrjeje

Arritja e një prefiksi privat përmes një VPN është një kërkesë me kohëzgjatje: vlen për sa kohë ajo lidhje është e përdorshme, dhe mbaron kur mbaron lidhja. Një skript hyrjeje nuk mund ta shprehë këtë, sepse hyrja dhe ngritja e tunelit janë momente të ndryshme, dhe tuneli që ekziston në hyrje mund të mos jetë ai që mbart trafik një minutë më vonë. Vendimi i parë nuk është cila komandë të ekzekutohet. Është cili komponent zotëron prefiksin.

Prefiksi ka nevojë për një pronar, jo për një moment

Filloni duke e shkruar kërkesën si fjali me kryefjalë: arrini 10.77.0.0/24 përmes VPN-së së Zyrës për sa kohë ajo lidhje është aktive. Ajo fjali emërton prefiksin, lidhjen dhe kushtin, dhe përjashton menjëherë dy zëvendësues popullorë: një grep hyrjeje dhe një emër ndërfaqeje si ppp0 ose utun2.

Emrat e ndërfaqeve caktohen në kohë ekzekutimi dhe nuk janë të qëndrueshëm midis rilidhjeve. Një grep që përputhet me emrin që pa javën e kaluar ose nuk aktivizohet ose aktivizohet mbi ndërfaqen e dikujt tjetër. Të dy rezultatet duken si një defekt rrugëtimi, jo si supozimi i vjetruar që janë. I njëjti kundërshtim vlen për çdo skript të lidhur me një emër që ekziston vetëm për sa kohë është ngritur një tunel i caktuar.

Përdorni një burim të mbështetur të qëllimit të rrugës

Porta, një profil i menaxhuar ose mekanizmi i dokumentuar i rrugëve i klientit pronar është vendi i duhur, kur ai mekanizëm mund ta shprehë kërkesën. Cili zbatohet varet nga protokolli dhe ofruesi, dhe çelësat nuk udhëtojnë mes tyre, kështu që një vlerë që konfiguron një profil OpenVPN nuk ju thotë asgjë për klientin vendas L2TP ose IKEv2.

Për zhvilluesit e tuneleve të paketave, cilësimet e tunelit IPv4 të Apple ekspozojnë shprehimisht rrugët e përfshira dhe të përjashtuara, dhe IPv6 ka homologun e tij. Këto janë API që përdor ofruesi, jo provë që çdo panel VPN vendas i ofron administratorit një listë arbitrare rrugësh. Nëse kombinimi aktual nuk mund t'i shprehë prefikset që ju nevojiten, hapi tjetër është një rrugë konfigurimi e mbështetur nga operatori, jo një aplikacion tjetër i instaluar me shpresën se do të sillet më mirë.

Jetëgjatësia përfshin pastrimin

Ndonjëherë një ndihmës i jashtëm është vërtet i nevojshëm, dhe atëherë «shto rrugën» është pjesa më e vogël e punës së tij. Duhet të dijë cilës lidhje i shërben dhe cilën ndërfaqe përdor ajo lidhje, të presë që gjendja përkatëse e rrjetit të qetësohet, të mbetet idempotent kur ekzekutohet dy herë radhazi, dhe të mos pastrojë asgjë që nuk e ka instaluar vetë.

Klauzola e fundit është ajo që të lëndon. Një ndihmës që fshin çdo rrugë që përputhet me prefiksin e zyrës, herët ose vonë do të fshijë një rrugë që nuk e ka shtuar. Ndërprerja që rezulton i vihet klientit VPN, sepse klienti është pjesa që sheh përdoruesi. Të vendosësh se çfarë zotëron një ndihmës para se ta shkruash është më e lirë sesa të shpjegosh më pas pse një nënrrjet lokal ndaloi së përgjigjuri.

Gara e rilidhjes

Merrni parasysh një rilidhje të shpejtë. Seanca A bie, seanca B ngrihet dhe instalon rrugën e saj, dhe pastaj pastrimi i vonuar i A më në fund ekzekutohet. Nëse ai pastrim i heq rrugët sipas prefiksit, merr me vete gjendjen e vlefshme të B, dhe lidhja që funksiononte një sekondë më parë tani rrugëton askund.

Kjo është një garë pronësie, dhe shtimi i një gjumi në skript ndryshon vetëm cilën anë e fiton atë. Zgjidhja është ta bësh pastrimin të kushtëzuar nga identiteti: krahasoni ndërfaqen dhe seancën që instaloi ndihmësi me ato që janë ende të vlefshme, dhe hiqni vetëm kur përputhen.

Çfarë të testoni, dhe çfarë një rrugë nuk mund të bëjë

Pranimi duhet të mbulojë katër kalime: lidhjen e parë, një rilidhje në një ndërfaqe tjetër, një përpjekje lidhjeje që dështon, dhe shkëputjen përfundimtare. Pas secilës, lexoni rrugën që sistemi zgjodhi në të vërtetë për një adresë në anën e largët, jo atë që prisnit.

route -n get 10.77.0.5
netstat -rn -f inet

Përfshini edhe rastet e vështira në të njëjtin raund: IPv6 aty ku kërkohet, një prefiks lokal që mbivendoset me atë të largët, dhe rruga drejt pikës fundore publike të VPN-së vetë, e cila duhet të vazhdojë të funksionojë për sa kohë tuneli është i ngritur. Pastaj shkruani çfarë nuk është një rrugë. Ajo zgjedh paketa; nuk jep leje në anën e largët dhe nuk krijon një rrugë kthimi, dhe ato mbeten kërkesa të ndara me pronarë të ndarë.

Rezultati që dëshironi është një prefiks që ndjek pronarin e tij të mbështetur të lidhjes në çdo kalim, jo një komandë që rastësisht pati sukses një herë në makinën ku u shkrua.