OpenVPN TAP na macOS: zkontrolujte klienta, než začnete ladit

Starý profil se dostane na aktuální Mac, klient ho importuje bez stížnosti a spojení spadne nebo jím nikdy neprojde provoz. Než strávíte odpoledne certifikáty, přečtěte si v profilu řádek zařízení. Pokud v něm stojí dev tap, žádáte od klienta rozhraní typu Ethernet, a na macOS právě na tomto požadavku končí většina takových relací.

Krok 1: ověřte, že profil skutečně žádá TAP

Profily se přejmenovávají, zabalují a znovu exportují, takže zkontrolujte soubor, který jste skutečně importovali. Hledejte direktivu zařízení a jakýkoli vložený soubor, který by ji mohl přebít. Dva řádky výstupu otázku ve většině případů vyřeší. Když se objeví dev i dev-type, vyhrává pozdější direktiva, a přesně takový detail zkopírovaný profil skrývá.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Obsahuje-li soubor dev tap nebo dev tap0, musí klient implementovat rozhraní TAP. Obsahuje-li dev tun, zbytek tohoto článku se neuplatní a závada je jinde.

Zapište název a verzi klienta, verzi macOS a odkud profil pochází. Tyto tři skutečnosti rozhodují, která z níže uvedených dvou cest je vůbec možná.

Krok 2: vězte, co režim zařízení skutečně mění

Rozhraní TUN přenáší IP pakety. Klient čte a zapisuje pakety adresované IP protějšku a operační systém je směruje jako kterékoli jiné rozhraní.

Rozhraní TAP přenáší ethernetové rámce včetně broadcastu a ARP. Právě to umožňuje přemostěnému serveru přidělovat adresy přes DHCP a klientovi objevovat zařízení voláním, a proto na tom některé starší návrhy závisí.

Cena je, že TAP potřebuje ovladač, který systému představí ethernetové rozhraní. Apple zrušil model rozšíření jádra, na němž stály starší ovladače TAP pro Mac, a jeho náhradní API se zázrakem neobjeví v klientech, které nikdy nebyly aktualizovány, aby ho používaly. Schopnost platformy a dodaný produkt jsou dvě různé věci.

Krok 3: vyberte mezi kompatibilním klientem a migrací

Existují dvě poctivé cesty. První je klient, jehož vydavatel pro vaši verzi macOS a hardware uvádí, že podporuje uspořádání TAP, které potřebujete. Ne příspěvek na fóru z doby před čtyřmi lety a ne archivovaný instalační balíček: aktuální prohlášení plus zkušební připojení.

Druhou je přesun služby na TUN, což je změna serveru stejně jako změna klienta. Potřebuje směrovanou topologii, fond adres, posílané trasy pro vzdálené sítě a zpáteční cestu z těchto sítí do fondu.

Co nefunguje, je upravit v místní kopii tap na tun a doufat. Server stále mostí, klient teď mluví IP a nic se neshoduje.

Krok 4: shromážděte fakta, než změníte fungující službu

Nechte původní profil nedotčený a vytvořte kopii pro experimenty. Soubor, který dokážete obnovit za minutu, má větší cenu než uklizená složka. Jakmile náhrada funguje, kopii záměrně smažte, místo abyste nechali dva profily, které v seznamu vypadají stejně. Ten jediný návyk zabrání většině zmatku po neúspěšné migraci. Zaznamenejte současné chování, abyste mohli dokázat, co se změnilo: zvedá se tunel, dostává adresu, dostanete se na jeden známý hostitel a funguje překlad jmen.

Zeptejte se vlastníka brány na tři věci. Běží server na přemostěné, nebo směrované topologii? Které vzdálené prefixy mají být dostupné? A existuje okno údržby pro změnu konfigurace, nebo se očekává, že to bude fungovat bez zásahu do serveru?

Odpovědi na to určují, zda dnes odpoledne řešíte problém klienta, nebo plánujete změnu sítě na příští týden.

Krok 5: ověřte migraci z obou konců

Jakmile má server směrovanou konfiguraci a vy odpovídající profil, testujte v tomto pořadí: tunel se naváže, klient obdrží adresu z nového fondu, hostitel na vzdálené straně odpoví a jméno se přeloží přes posílané nastavení DNS.

Potom otestujte to, co dříve záviselo na chování Ethernetu. Pokud aplikace objevovala zařízení pomocí broadcastu, přes směrovaný tunel je nenajde a žádná klientská konfigurace to nevrátí. Taková aplikace potřebuje známou adresu, místního pomocného hostitele nebo jinou metodu objevování.

Skončete jedním opětovným připojením a jedním restartem, protože profil, který funguje jen na první pokus, obvykle znamená, že posílané trasy nebo nastavení DNS se při opětovném připojení neuplatňují.

Když to stále selhává, přečtěte si první chybu

Klient, který nedokáže rozhraní vytvořit, to řekne ve svém logu, obvykle v prvních několika řádcích. Klient, který ho vytvoří a pak neprojde autentizací, už otázku zařízení dávno minul, a další honění TAP jen plýtvá relací.

Uchovejte původní profil a fungující konfiguraci, dokud náhrada není prokázaná. Vrátit změnu klienta je rychlé; znovu postavit přemostěnou síť, kterou někdo rozebral na základě dohadu, tak rychlé není.