OpenVPN TAP macOS-is: kontrollige klienti enne silumist

Vana profiil satub tänapäevasesse Maci, klient impordib selle ilma vastuväideteta ning ühendus katkeb või ei liigu kunagi liiklus. Enne kui kulutate sertifikaatidele terve pärastlõuna, lugege profiilist seadme rida. Kui seal on dev tap, palute kliendilt Etherneti-tüüpi liidest ja macOS-is lõpeb enamik selliseid sessioone just sellel palvel.

Samm 1: veenduge, et profiil tõesti küsib TAP-i

Profiile nimetatakse ümber, pakendatakse ja eksporditakse uuesti, seega kontrollige faili, mille tegelikult importisite. Otsige seadme direktiivi ja mis tahes kaasatud faili, mis võiks selle üle kirjutada. Kaks rida väljundit otsustavad küsimuse enamikul juhtudel. Kui ilmuvad nii dev kui ka dev-type, võidab hilisem direktiiv, ja just sellist detaili varjab kopeeritud profiil.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Kui fail sisaldab dev tap või dev tap0, peab klient TAP-liidese rakendama. Kui see sisaldab dev tun, ülejäänud artikkel ei kehti ja tõrge on mujal.

Kirjutage üles kliendi nimi ja versioon, macOS-i versioon ja see, kust profiil pärineb. Need kolm fakti otsustavad, milline kahest allpool kirjeldatud teest on üldse võimalik.

Samm 2: teadke, mida seadmerežiim tegelikult muudab

TUN-liides edastab IP-pakette. Klient loeb ja kirjutab IP-vastaspoolele adresseeritud pakette ning operatsioonisüsteem suunab need nagu iga teise liidese puhul.

TAP-liides edastab Etherneti kaadreid, sealhulgas ringhäälingut ja ARP-d. See võimaldab silla kaudu ühendatud serveril DHCP-ga aadresse jagada ja kliendil seadmeid hõigates avastada, mistõttu mõned vanad lahendused sellele toetuvad.

Hind on see, et TAP vajab draiverit, mis esitab süsteemile Etherneti liidese. Apple lõpetas kerneli laienduse mudeli, millele vanemad Maci TAP-draiverid toetusid, ja selle asendus-API ei ilmu maagiliselt klientides, mida pole kunagi selle kasutamiseks uuendatud. Platvormi võimekus ja tarnitud toode on kaks erinevat asja.

Samm 3: valige ühilduva kliendi ja migratsiooni vahel

On kaks ausat teed. Esimene on klient, mille avaldaja kinnitab teie macOS-i versiooni ja riistvara kohta, et see toetab vajalikku TAP-lahendust. Mitte neli aastat vana foorumipostitus ja mitte arhiveeritud paigaldaja: kehtiv kinnitus pluss testühendus.

Teine on teenuse viimine TUN-i, mis on serveri muudatus sama palju kui kliendi oma. Selleks on vaja marsruuditud topoloogiat, aadresside basseini, kaugvõrkudele saadetavaid marsruute ja tagasiteed nendest võrkudest basseini.

Mis ei toimi, on muuta kohalikus koopias tap väärtuseks tun ja loota. Server sillutab endiselt, klient räägib nüüd IP-d ja miski ei klapi.

Samm 4: koguge faktid enne töötava teenuse muutmist

Jätke algne profiil puutumata ja tehke eksperimentide jaoks koopia. Fail, mille saate minutiga taastada, on väärtuslikum kui korrastatud kaust. Kui asendus töötab, kustutage koopia teadlikult, selle asemel et jätta kaks profiili, mis loendis ühesugused välja näevad. See üks harjumus hoiab ära suurema osa segadusest, mis ebaõnnestunud migratsioonile järgneb. Kirjutage üles praegune käitumine, et saaksite tõestada, mis muutus: kas tunnel tõuseb, kas see saab aadressi, kas jõuate ühe teadaoleva hostini ja kas nimede lahendamine töötab.

Küsige lüüsi omanikult kolme asja. Kas server töötab silla või marsruuditud topoloogiaga? Millised kaugprefiksid peaksid olema kättesaadavad? Ja kas konfiguratsiooni muutmiseks on hooldusaken või eeldatakse, et see töötab serverit puutumata?

Vastused nendele otsustavad, kas lahendate täna pärastlõunal kliendiprobleemi või plaanite järgmisel nädalal võrgu muudatust.

Samm 5: kontrollige migratsiooni mõlemast otsast

Kui serveril on marsruuditud konfiguratsioon ja teil on sobiv profiil, testige selles järjekorras: tunnel luuakse, klient saab aadressi uuest basseinist, kaugpoolne host vastab ja nimi lahendatakse saadetud DNS-seade kaudu.

Seejärel testige seda, mis varem sõltus Etherneti käitumisest. Kui rakendus avastas seadmeid ringhäälingu kaudu, ei leia see neid marsruuditud tunnelist ja ükski kliendi konfiguratsioon ei too seda tagasi. See rakendus vajab teadaolevat aadressi, kohalikku abihosti või teistsugust avastamismeetodit.

Lõpetuseks ühendage uuesti ja taaskäivitage üks kord, sest profiil, mis töötab ainult esimesel katsel, tähendab tavaliselt, et saadetud marsruute või DNS-seadet ei rakendata uuesti ühendamisel.

Kui see ikka ei õnnestu, lugege esimest viga

Klient, kes ei suuda liidest luua, ütleb seda oma logis, tavaliselt paari esimese rea jooksul. Klient, kes selle loob ja seejärel autentimisega ebaõnnestub, on seadme küsimusest ammu möödas, ja TAP-i tagaajamine raiskab sessiooni.

Hoidke algset profiili ja töötavat konfiguratsiooni, kuni asendus on tõestatud. Kliendi muudatuse tagasipööramine on kiire; silla kaudu ühendatud võrgu ülesehitamine, mille keegi oletuse põhjal lahti võttis, ei ole.