OpenVPN TAP ar macOS: gwiriwch y cleient cyn dechrau dadfygio

Mae hen broffil yn glanio ar Mac cyfredol, mae’r cleient yn ei fewnforio heb gwyn, ac mae’r cysylltiad yn cwympo neu byth yn pasio traffig. Cyn i chi dreulio prynhawn ar dystysgrifau, darllenwch linell y ddyfais yn y proffil. Os dywed dev tap, rydych yn gofyn i’r cleient am ryngwyneb ar ffurf Ethernet, ac ar macOS dyna lle mae’r rhan fwyaf o’r sesiynau hyn yn dod i ben.

Cam 1: cadarnhau bod y proffil yn gofyn am TAP mewn gwirionedd

Mae proffiliau yn cael eu hailenwi, eu lapio a’u hallforio eto, felly gwiriwch y ffeil a fewnforioch mewn gwirionedd. Chwiliwch am y cyfarwyddeb ddyfais ac am unrhyw gynnwys a allai ei disodli. Mae dwy linell o allbwn yn setlo’r cwestiwn yn y rhan fwyaf o achosion. Pan fydd dev a dev-type ill dau yn ymddangos, y cyfarwyddeb diweddaraf sy’n ennill, a dyna’n union y math o fanylyn y mae proffil copïedig yn ei guddio.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Os yw’r ffeil yn cynnwys dev tap neu dev tap0, rhaid i’r cleient weithredu rhyngwyneb TAP. Os yw’n cynnwys dev tun, nid yw gweddill yr erthygl hon yn berthnasol ac mae’r methiant yn rhywle arall.

Nodwch enw a fersiwn y cleient, fersiwn macOS, ac o ble y daeth y proffil. Y tri ffaith hyn sy’n penderfynu pa un o’r ddwy lwybr isod sy’n bosibl o gwbl.

Cam 2: gwybod beth mae modd y ddyfais yn ei newid mewn gwirionedd

Mae rhyngwyneb TUN yn cario pecynnau IP. Mae’r cleient yn darllen ac yn ysgrifennu pecynnau a gyfeirir at bartner IP, ac mae’r system weithredu yn eu llwybro fel unrhyw ryngwyneb arall.

Mae rhyngwyneb TAP yn cario fframiau Ethernet, gan gynnwys darlledu ac ARP. Dyna sy’n caniatáu i weinydd pont ddyrannu cyfeiriadau drwy DHCP ac i gleient ddarganfod dyfeisiau drwy weiddi, a dyna pam mae rhai cynlluniau hen yn dibynnu arno.

Y gost yw bod TAP angen gyrrwr sy’n cyflwyno rhyngwyneb Ethernet i’r system. Mae Apple wedi darfod am y model estyniad cnewyllyn yr oedd gyrwyr TAP hŷn ar gyfer Mac yn dibynnu arno, ac nid yw ei API olynol yn ymddangos fel hud y tu mewn i gleientiaid na chawsant eu diweddaru erioed i’w ddefnyddio. Mae gallu platfform a chynnyrch sydd wedi ei gludo yn bethau gwahanol.

Cam 3: dewis rhwng cleient cydnaws a mudo

Mae dau lwybr gonest. Y cyntaf yw cleient y mae ei gyhoeddwr yn datgan, ar gyfer eich fersiwn o macOS a’ch caledwedd, ei fod yn cefnogi’r drefn TAP sydd ei hangen arnoch. Nid post fforwm o bedair blynedd yn ôl, ac nid gosodwr wedi’i archifo: datganiad cyfredol ynghyd â chysylltiad prawf.

Yr ail yw symud y gwasanaeth i TUN, sy’n newid gweinydd cymaint ag y mae’n newid cleient. Mae angen topoleg llwybriedig, pwll cyfeiriadau, llwybrau gwthiedig ar gyfer y rhwydweithiau pell, a llwybr dychwelyd o’r rhwydweithiau hynny yn ôl i’r pwll.

Yr hyn nad yw’n gweithio yw golygu tap yn tun yn eich copi lleol a gobeithio. Mae’r gweinydd yn dal i bontio, mae’r cleient nawr yn siarad IP, ac nid oes dim yn cyd-fynd.

Cam 4: casglu’r ffeithiau cyn newid gwasanaeth sy’n gweithio

Gadewch y proffil gwreiddiol heb ei gyffwrdd a gwnewch gopi ar gyfer arbrofion. Mae ffeil y gallwch ei hadfer mewn munud yn werth mwy na phlygell daclus. Unwaith y bydd yr amnewidiad yn gweithio, dilëwch y copi yn fwriadol yn hytrach na gadael dau broffil sy’n edrych yn unfath mewn rhestr. Mae’r un arferiad hwnnw yn atal y rhan fwyaf o’r dryswch sy’n dilyn mudo aflwyddiannus. Cofnodwch yr ymddygiad presennol fel y gallwch brofi beth sydd wedi newid: a yw’r twnnel yn codi, a yw’n cael cyfeiriad, a allwch gyrraedd un gwesteiwr hysbys, ac a yw datrys enwau yn gweithio.

Gofynnwch dri chwestiwn i berchennog y giât. A yw’r gweinydd yn rhedeg topoleg bont neu lwybriedig? Pa rwydweithiau pell y dylid eu cyrraedd? Ac a oes ffenestr gynnal a chadw ar gyfer newid cyfluniad, neu a ddisgwylir iddo weithio heb gyffwrdd â’r gweinydd?

Mae’r atebion i’r rheini yn penderfynu a ydych yn datrys problem cleient y prynhawn yma neu’n cynllunio newid rhwydwaith yr wythnos nesaf.

Cam 5: gwireddu’r mudo o’r ddau ben

Unwaith y bydd gan y gweinydd gyfluniad llwybriedig a chithau’n cael proffil sy’n cyfateb, profwch yn y drefn hon: mae’r twnnel yn sefydlu, mae’r cleient yn derbyn cyfeiriad o’r pwll newydd, mae gwesteiwr ar yr ochr bell yn ateb, ac mae enw yn datrys drwy’r gosodiad DNS gwthiedig.

Yna profwch yr hyn a oedd yn arfer dibynnu ar ymddygiad Ethernet. Os oedd rhaglen yn darganfod dyfeisiau drwy ddarlledu, ni fydd yn eu cael drwy dwnnel llwybriedig, ac nid oes unrhyw faint o gyfluniad cleient yn dod â hynny’n ôl. Mae angen cyfeiriad hysbys, gwesteiwr cynorthwyol lleol, neu ddull darganfod gwahanol ar y rhaglen honno.

Gorffennwch drwy ailgysylltu ac ailgychwyn unwaith, oherwydd proffil sy’n gweithio ar yr ymgais gyntaf yn unig fel arfer yn golygu nad yw’r llwybrau gwthiedig na’r gosodiad DNS yn cael eu cymhwyso wrth ailgysylltu.

Pan fydd yn dal i fethu, darllenwch y gwall cyntaf

Mae cleient na all greu’r rhyngwyneb yn dweud hynny yn ei gofnod, fel arfer o fewn y llinellau cyntaf. Mae cleient sy’n ei greu ac yna’n methu dilysu wedi mynd heibio’r cwestiwn dyfais yn gyfan gwbl, ac mae parhau i hel TAP yn gwastraffu’r sesiwn.

Cadwch y proffil gwreiddiol a’r cyfluniad sy’n gweithio nes bod yr amnewidiad wedi’i brofi. Mae troi newid cleient yn ôl yn gyflym; nid yw ailadeiladu rhwydwaith pont y gwnaeth rhywun ei ddarnio ar hap yn gyflym.