macOS-də OpenVPN TAP: ayıklamadan əvvəl müştərini yoxlayın

Köhnə profil müasir Mac-ə düşür, müştəri onu heç bir etiraz etmədən idxal edir və bağlantı qopur ya da heç trafik keçmir. Sertifikatlara bütöv bir gün sərf etməzdən əvvəl profildəki cihaz sətrini oxuyun. Əgər orada dev tap yazılıbsa, siz müştəridən Ethernet tipli interfeys istəyirsiniz və macOS-da bu sessiyaların çoxu məhz bu istəkdə bitir.

Addım 1: profilin həqiqətən TAP tələb etdiyini təsdiqləyin

Profillər adlanır, bükülür və yenidən ixrac olunur, ona görə də həqiqətən idxal etdiyiniz faylı yoxlayın. Cihaz direktivini və onu üstələyə biləcək hər hansı daxiletməni axtarın. Çıxışın iki sətri əksər hallarda sualı həll edir. Həm dev, həm də dev-type göründükdə sonrakı direktiv üstün gəlir və bu, kopyalanmış profilin gizlətdiyi məhz belə detaldır.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Faylda dev tap və ya dev tap0 varsa, müştəri TAP interfeysi tətbiq etməlidir. Əgər dev tun varsa, bu məqalənin qalan hissəsi tətbiq olunmur və nasazlıq başqa yerdədir.

Müştərinin adını və versiyasını, macOS versiyasını və profilin haradan gəldiyini yazın. Bu üç fakt aşağıdakı iki yoldan hansının ümumiyyətlə mümkün olduğunu müəyyən edir.

Addım 2: cihaz rejiminin əslində nəyi dəyişdiyini bilin

TUN interfeysi IP paketlərini daşıyır. Müştəri IP həmkarına ünvanlanmış paketləri oxuyur və yazır, əməliyyat sistemi isə onları hər hansı digər interfeys kimi marşrutlaşdırır.

TAP interfeysi Ethernet çərçivələrini, o cümlədən yayım və ARP-ni daşıyır. Bu, körpülənmiş serverin DHCP ilə ünvan paylamasına və müştərinin cihazları qışqırmaqla aşkar etməsinə imkan verir; bəzi köhnə dizaynlar məhz buna görə ondan asılıdır.

Qiyməti bundadır ki, TAP sistemə Ethernet interfeysi təqdim edən sürücü tələb edir. Apple köhnə Mac TAP sürücülərinin güvəndiyi nüvə genişlənməsi modelini dayandırıb və onun əvəzedici API-si istifadə etmək üçün heç vaxt yenilənməmiş müştərilərin içində sehrli şəkildə peyda olmur. Platforma qabiliyyəti ilə göndərilən məhsul fərqli şeylərdir.

Addım 3: uyğun müştəri ilə miqrasiya arasında seçim edin

İki dürüst yol var. Birincisi, nəşriyyatçısı sizin macOS buraxılışınız və avadanlığınız üçün lazım olan TAP quruluşunu dəstəklədiyini bildirən müştəridir. Dörd il əvvəlki forum yazısı deyil və arxivlənmiş quraşdırıcı deyil: cari bəyanat üstəgəl sınaq bağlantısı.

İkincisi xidməti TUN-a köçürməkdir ki, bu da müştəri dəyişikliyi qədər server dəyişikliyidir. Bu, marşrutlaşdırılmış topologiya, ünvan hovuzu, uzaq şəbəkələr üçün ötürülən marşrutlar və həmin şəbəkələrdən hovuza geri yol tələb edir.

İşləməyən yol yerli nüsxənizdə tap-i tun-ə dəyişib ümid etməkdir. Server hələ də körpü qurur, müştəri indi IP danışır və heç nə uyğun gəlmir.

Addım 4: işlək xidməti dəyişməzdən əvvəl faktları toplayın

Orijinal profili toxunulmaz saxlayın və təcrübələr üçün nüsxə çıxarın. Bir dəqiqə ərzində bərpa edə bildiyiniz fayl səliqəli qovluqdan daha dəyərlidir. Əvəz işləməyə başlayandan sonra nüsxəni qəsdən silin, siyahıda eyni görünən iki profil saxlamayın. Bu tək vərdiş uğursuz miqrasiyadan sonra yaranan qarışıqlığın çoxunun qarşısını alır. Cari davranışı qeyd edin ki, nəyin dəyişdiyini sübut edə biləsiniz: tunel qalxır, ünvan alır, məlum bir hosta çata bilirsiniz və ad həlli işləyir.

Şlüz sahibinə üç sual verin. Server körpülənmiş, yoxsa marşrutlaşdırılmış topologiyada işləyir? Hansı uzaq prefikslər əlçatan olmalıdır? Və konfiqurasiya dəyişikliyi üçün texniki xidmət pəncərəsi varmı, yoxsa serverə toxunmadan işləməsi gözlənilir?

Bu cavablar bu günortadan sonra müştəri problemini həll etdiyinizi, yoxsa gələn həftə şəbəkə dəyişikliyi planlaşdırdığınızı müəyyən edir.

Addım 5: miqrasiyanı hər iki tərəfdən yoxlayın

Serverdə marşrutlaşdırılmış konfiqurasiya və sizdə uyğun profil olduqdan sonra bu sıra ilə sınaqdan keçirin: tunel qurulur, müştəri yeni hovuzdan ünvan alır, uzaq tərəfdəki host cavab verir və ad ötürülən DNS parametri ilə həll olunur.

Sonra əvvəllər Ethernet davranışından asılı olanı sınayın. Əgər bir tətbiq cihazları yayımla aşkar edirdisə, onları marşrutlaşdırılmış tunel üzərindən tapmayacaq və müştəri konfiqurasiyasının heç bir miqdarı bunu geri qaytarmır. Həmin tətbiqə məlum ünvan, yerli köməkçi host və ya fərqli aşkaretmə üsulu lazımdır.

Bir dəfə yenidən qoşulub yenidən başladaraq bitirin, çünki yalnız ilk cəhddə işləyən profil adətən ötürülən marşrutların və ya DNS parametrinin yenidən qoşulmada tətbiq olunmadığını bildirir.

Hələ də uğursuz olduqda ilk xətanı oxuyun

İnterfeysi yarada bilməyən müştəri bunu jurnalında, adətən ilk bir neçə sətirdə deyir. Onu yaradıb sonra autentifikasiyadan keçə bilməyən müştəri cihaz sualını tamamilə keçmişdir və TAP-ın arxasınca getməyə davam etmək sessiyanı israf edir.

Əvəz sübut olunana qədər orijinal profili və işlək konfiqurasiyanı saxlayın. Müştəri dəyişikliyini geri qaytarmaq sürətlidir; kimsə təxminlə sökdüyü körpülənmiş şəbəkəni yenidən qurmaq isə deyil.