dev tun у Windows па-ранейшаму паказвае адаптар TAP. Гэта няправільна?
Адаптар TAP-Windows пад профілем dev tun — гэта нармальна. Драйвер трэцяга ўзроўню — апцыянальны перамыкач, і менавіта журнал кліента, а не назва адаптара, паказвае, які з іх працаваў.
Дыспетчар прылад паказвае TAP-Windows Adapter V9, а профіль кажа dev tun, і тунель працуе. Гэтая камбінацыя не з'яўляецца памылкай наладкі, і пераключэнне рэжыму туды-сюды гэтага не зменіць. Назва адаптара адлюстроўвае, які драйвер Windows загрузіў кліент, а не якія пакеты нясе тунель. Прачытайце радок драйвера ў журнале кліента, перш чым нешта змяняць.
Чаму тунель узроўню 3 атрымлівае адаптар Ethernet
Цягам большай часткі гісторыі кліента на Windows не існавала прыдатнага віртуальнага адаптара ўзроўню 3. Адзіным варыянтам быў драйвер TAP-Windows, які прадстаўляе інтэрфейс Ethernet. Затым кліент эмуляваў адсутныя паводзіны ўзроўню 2, каб Windows мог яго наладзіць. Менавіта праз гэтую эмуляцыю адаптар дагэтуль выглядае як сеткавая карта.
Дзве часткі гэтай эмуляцыі можна ўбачыць: кліент адказвае на ARP для адраса тунеля і выдае лакальнай машыне невялікі DHCP-ліз. Таму Windows бачыць звычайны адаптар Ethernet з MAC-адрасам і драйверам NDIS, а сам тунель нясе голыя IP-пакеты. Касцюм Ethernet належыць драйверу, а не рэжыму тунеля.
Шукайце радок драйвера, а не ацэньвайце па назве
Два адаптары могуць мець аднолькавую назву ў розных версіях драйвера, таму адна назва не скажа, што менавіта працавала. Журнал кліента называе прыладу, якую ён адкрыў, а ў новых зборках — і драйвер, які ён выбраў; гэта і ёсць радок, які трэба чытаць.
Праверце ў журнале тры рэчы ў такім парадку: ці адкрыў кліент хоць які адаптар, які драйвер ён паведамляе і ці адкаціўся ён пасля збою. Радок адкату лёгка прапусціць, бо злучэнне ўсё роўна ўзнімаецца, і тунель тады працуе на старым драйверы, пакуль карыстальнік лічыць, што актыўны новы.
Пераключыцеся на драйвер узроўню 3 і праверце, што мусіць быць на месцы
Драйвер узроўню 3 ад праекта WireGuard даступны пачынаючы з версіі кліента 2.5, але ён апцыянальны. Даданне адной дырэктывы выбірае яго:
windows-driver wintunДрайвер мусіць быць усталяваны на машыне, а афіцыйныя зборкі нясуць падпісаную копію. Пастаўляйце менавіта гэты падпісаны выпуск, калі самі пакуюце кліент, бо прыватна сабраны драйвер канфліктуе з копіямі, якія ўсталёўваюць іншыя прадукты VPN. Такія канфлікты даюць збоі, якія цяжка аднесці да прычыны, і звычайна яны з'яўляюцца пасля таго, як на машыне з'явіцца другі кліент VPN. А адсутнасць драйвера, наадварот, пакідае ясны радок у журнале.
Драйвер таксама патрабуе больш строгіх дазволаў, таму кліент стварае адаптар праз сваю інтэрактыўную службу, якая працуе ад прывілеяванага ўліковага запісу. Запусціце кліент як звычайны працэс карыстальніка без гэтай службы — дырэктыва можа не спрацаваць, раней усталяваны адаптар застанецца бачным, і будзе выглядаць, што перамыкач праігнаравалі.
Калі TAP застаецца правільным рашэннем
Калі тунель мусіць перадаваць кадры Ethernet, шырокавяшчальны трафік або пратаколы не-IP, патрэбны адаптар узроўню 2, і драйвер TAP вынікае з гэтай патрэбы. Маставае рашэнне ў Windows мае тое ж абмежаванне, бо інтэрфейс мусіць увайсці ў дамен узроўню 2.
Прадукцыйнасць — не прычына выбіраць адно замест другога на ўзроўні назвы адаптара. Версія 2.6 дадае драйвер выгрузкі канала даных, які пераносіць апрацоўку пакетаў у ядро, і менавіта гэты варыянт змяняе характарыстыкі прапускной здольнасці. Гэта рашэнне аб магчымасцях, а не патрабаванне для падключэння, і яно залежыць ад зборкі і ўсталяванага пакета. Профіль, які працуе без яго, працягвае працаваць.
| What the tunnel must carry | Adapter family | Where it is selected |
|---|---|---|
| IPv4 and IPv6 packets | Layer-3 driver, or the older TAP emulation | Client directive plus installed signed driver |
| Ethernet frames, non-IP protocols | TAP-Windows | Profile mode and the TAP driver package |
| Higher throughput on a supported build | Data-channel offload driver | Client build and driver package, separately from the profile |
Прыбярыце пасля пераключэння
Выдаліць стары адаптар гэтак жа важна, як дадаць новы. Пакінуты інтэрфейс TAP можа захаваць адрас і маршрут з папярэдняй сесіі, і гэтыя запісы жывуць даўжэй за злучэнне, якое іх стварыла. Выдаліце састарэлую прыладу ў Дыспетчары прылад, потым падключыцеся зноў і пераканайцеся, што табліца маршрутызацыі больш яе не згадвае.
Калі ўсталявана некалькі прадуктаў VPN, занатуйце, які пакет драйвера нясе кожны з іх, перш чым адладжваць профіль. Два кліенты, якія ўсталёўваюць розныя зборкі аднаго драйвера, — гэта канфлікт, які ніякае рэдагаванне профілю не вырашыць. Выдаліце непатрэбны кліент і перазагрузіцеся, затым шукайце дублікаты адаптараў у Дыспетчары прылад. Толькі пасля гэтага варта параўноўваць радкі журналаў двух прадуктаў.