Motor OpenVPN apo Tunnelblick: kush e zotëron sesionin VPN të Mac?

Homebrew instalon një program OpenVPN; Tunnelblick instalon një menaxher që ekzekuton një ose më shumë motorë. Këto janë shtresa të ndryshme, dhe pyetja e dobishme nuk është nëse ju pëlqen të përdorni një terminal. Është kush e zotëron konfigurimin, ndryshimet e DNS, kërkesën për kredenciale dhe pastrimin kur sesioni mbaron. Një pronar i vetëm për këto shtresa është ai që e bën konfigurimin të parashikueshëm.

Kaloni nëpër pesë kontrollet më poshtë me radhë. E para që ka dy pronarë është ajo që krijon gjendjet e çuditshme gjysmë të lidhura që njerëzit ia atribuojnë vetë OpenVPN. Çdo kontroll emërton provën që e zgjidh atë.

Kontrolli i parë: cili binar i OpenVPN ekzekutohet në të vërtetë

Ekzekutoni pgrep -fl openvpn ndërsa jeni i lidhur dhe lexoni të gjithë rreshtin e komandës. Rruga e parë është motori që ekzekutohet në të vërtetë. Në Apple Silicon instalimi i Homebrew zakonisht ndodhet nën /opt/homebrew, ndërsa Mac-ët Intel përdorin /usr/local, dhe Tunnelblick ekzekuton një motor nga brenda paketës së vetë aplikacionit.

Tunnelblick i grupon motorët dhe i lejon një konfigurimi të zgjedhë një. Përditësimi i formulës së Homebrew ndryshon birarin e pavarur, jo motorin që nis një profil i Tunnelblick. Nëse krahasoni versione për të shpjeguar një ndryshim sjelljeje, krahasoni motorin në listën e proceseve dhe jo atë në menaxherin e paketave. Vetëm vargu i versionit nuk do t'ju thotë cilin profil ngarkoi ai motor.

Një profil i kopjuar mund t'i bëjë dy motorë të duken identikë ndërsa lexojnë skedarë të ndryshëm. Rruga e profilit në rreshtin e komandës ju thotë cilin konfigurim ngarkoi procesi që ekzekutohet; një profil i hapur në një editor nuk është provë. Krahasoni atë rrugë përpara se të krahasoni sjelljen.

Kontrolli i dytë: kush ndryshon DNS-në dhe rrugët

Motori mund të ekzekutojë direktivat up dhe down të vetë OpenVPN, por menaxheri mund të zotërojë të njëjtin cikël jetësor. Cilësimet e serverit të emrave të Tunnelblick kontrollojnë skriptet standarde të lidhjes dhe shkëputjes, dhe kur ajo integrim është aktiv, direktivat konkurruese në profil mund të injorohen.

Kjo ka rëndësi sepse DNS është vendi ku një tunel që funksionon duket më shpesh i prishur. Kontrolloni scutil --dns ndërsa jeni i lidhur, vini re cili zgjidhës është i pari dhe konfirmoni se kthehet pas shkëputjes. Nëse profili pret ta vendosë vetë DNS-në ndërsa menaxheri gjithashtu e menaxhon, njëri nga të dy do të humbasë.

Vendosni cila shtresë e zotëron DNS-në përpara lidhjes së parë, më pas hiqni direktivën humbëse në vend që t'i lini të dyja. Ndryshimet e rrugëve ndjekin të njëjtin rregull: një pronar, i dukshëm në konfigurim, me një rrugë restaurimi të dokumentuar.

Kontrolli i tretë: nga vijnë kredencialet

Një kërkesë interaktive dhe një proces pa mbikëqyrje kanë kërkesa të ndryshme. Një kredencial i ruajtur nga një aplikacion nuk është automatikisht i disponueshëm për një proces tjetër, dhe një element i vargut të çelësave i kufizuar te menaxheri mund të jetë i padukshëm për një motor të pavarur të nisur nga një shell.

Listoni burimin e kredencialeve për profilin: një certifikatë dhe çelës klienti, një kërkesë për emrin e përdoruesit dhe fjalëkalimin, ose një token i dhënë nga një ndihmës i jashtëm. Më pas konfirmoni se pronari i zgjedhur mund ta arrijë atë burim pa një person nëse lidhja duhet t'i mbijetojë një rinisjeje.

Kontrolli i katërt: kush e nis, e mbikëqyr dhe e ndalon procesin

Një vendosje e pavarur ka nevojë për një mbikëqyrës nëse duhet të qëndrojë në punë. Launchd mund ta nisë motorin në hyrje ose sipas kërkesës, ta rinisë pas një dështimi dhe ta ndalojë pastër, por dikush duhet ta shkruajë dhe ta zotërojë atë detyrë. Ekzekutimi i komandës në një terminal funksionon për një test dhe jo për një përdorues që mbyll dritaren.

Nëse Tunnelblick mbetet pronar, përdorni kontrollet e tij të mbështetura në vend që të nisni një motor të dytë. Binar i Homebrew, kur merr një profil të kopjuar, hap një lidhje të pavarur me konfigurimin dhe kontekstin e integrimit të vet në vend që të komandojë sesionin ekzistues të Tunnelblick.

Cilindo pronar që zgjidhni, përcaktoni çfarë ndodh në gjumë, në ndryshim rrjeti dhe në dalje. Një menaxher zakonisht i trajton ato ngjarje; një proces i zhveshur zakonisht jo, dhe rruga ose zgjidhësi i vjetëruar që rezulton lexohet lehtësisht gabimisht si dështim i serverit.

Kontrolli i pestë: si verifikohet dorëzimi

Testoni pronarin e ri me të vjetrin të çaktivizuar, më pas testoni përsëri të vjetrin nëse planifikoni ta mbani. Një burim privat që përgjigjet në një rrjedhë pune dhe jo në tjetrën është provë për integrimin që mungon, jo për serverin.

Për një dorëzim te një motor i pavarur, shënoni rrugën e profilit, rrugën e binarit, mbikëqyrësin, pronarin e DNS-së dhe burimin e kredencialeve. Më pas verifikoni burimin privat, rrugën drejt internetit publik dhe një shkëputje të pastër në atë rend. Nëse DNS ose rrugët mbeten pas shkëputjes, pronari i ri nuk ka mbaruar.

Për një dorëzim te Tunnelblick, zgjidhni motorin për konfigurimin, aktivizoni integrimin e DNS-së që synoni dhe hiqni direktivat e profilit që i kundërvihen. Më pas përsëritni të njëjtat tre kontrolle. Një lidhje që funksionon por e lë zgjidhësin e ndryshuar është dorëzim i dështuar, edhe nëse tuneli u ngrit.

Paketimi nuk e zgjidh përputhshmërinë me serverin. Kontrolloni kërkesat e veta të klientit të shërbimit dhe zgjidhni vetëm motorin vetëm kur synoni të siguroni menaxhimin e tij.