OpenVPN TAP op macOS: kontrolearje de klant foardat jo debugge

In âld profyl bedarret op in aktuele Mac, de klant ymportearret it sûnder klacht, en de ferbining falt fuort of lit nea ferkear troch. Foardat jo in middei oan sertifikaten besteegje, lês de apparaatrigel yn it profyl. As dêr dev tap stiet, freegje jo de klant om in Ethernet-eftich ynterface, en op macOS einiget de measte fan dizze sesjes krekt by dy oanfraach.

Stap 1: befêstigje dat it profyl echt TAP freget

Profylen wurde omneamd, ynpakt en opnij eksportearre, dus kontrolearje it bestân dat jo echt ymportearre hawwe. Sykje nei de apparaatrigel en nei elk include dat dy oerskriuwe kin. Twa rigels útfier besljochtsje de fraach yn ’e measte gefallen. As sawol dev as dev-type foarkomme, wint de lettere rigel, en krekt sa’n detail ferberget in kopiearre profyl.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

As it bestân dev tap of dev tap0 befettet, moat de klant in TAP-ynterface ymplementearje. As it dev tun befettet, jildt de rest fan dit artikel net en leit de flater earne oars.

Skriuw de namme en ferzje fan de klant, de macOS-ferzje en wêr’t it profyl wei komt op. Dy trije feiten bepale hokker fan ’e twa diken hjirûnder überhaupt mooglik is.

Stap 2: witte wat de apparaatmodus echt feroaret

In TUN-ynterface ferfiert IP-pakketten. De klant lêst en skriuwt pakketten nei in IP-pear, en it bestjoeringssysteem rûtelet se lykas elk oar ynterface.

In TAP-ynterface ferfiert Ethernet-ramen, ynklusyf broadcast en ARP. Dat lit in brêge server adressen ferspriede fia DHCP en in klant apparaten ûntdekke troch te roppen, en dêrom binne guon âlde ûntwerpen dêrfan ôfhinklik.

De priis is dat TAP in driver nedich hat dy’t it systeem in Ethernet-ynterface oanbiedt. Apple hat it kernelútwreidingsmodel ôfskaft dêr’t âldere Mac-TAP-drivers op bouden, en syn ferfangende API ferskynt net samar yn klanten dy’t nea bywurke binne om it te brûken. In platfoarmkapasiteit en in levere produkt binne twa ferskillende dingen.

Stap 3: kies tusken in kompatibele klant en in migraasje

Der binne twa earlike diken. De earste is in klant waans útjouwer foar jo macOS-ferzje en hardware ferklearret dat it de TAP-opstelling stipet dy’t jo nedich hawwe. Net in forumpost fan fjouwer jier lyn, en net in argivearre ynstallaasjeprogramma: in aktuele ferklearring plus in testferbining.

De twadde is de tsjinst nei TUN ferpleatse, wat likefolle in server- as in klantferoaring is. Dat freget in rûtearre topology, in adrespoel, treaune rûtes foar de fiere netwurken en in weromwei fan dy netwurken nei de poel.

Wat net wurket, is tap feroarje yn tun yn jo lokale kopy en hoopje. De server brêget noch, de klant praat no IP, en neat komt oerien.

Stap 4: sammel de feiten foardat jo in wurkjende tsjinst feroarje

Lit it orizjinele profyl ûnoantaast en meitsje in kopy foar eksperiminten. In bestân dat jo yn in minút weromsette kinne, is mear wurdich as in kreas map. Sadree’t de ferfanging wurket, wiskje de kopy bewust ynstee fan twa profylen te litten dy’t yn in list itselde lykje. Dy iene gewoante foarkomt it measte fan ’e betizing nei in mislearre migraasje. Skriuw it hjoeddeiske gedrach op sadat jo bewize kinne wat feroare is: komt de tunnel omheech, krijt er in adres, kinne jo ien bekend hosts berikke, en wurket nammeresolúsje.

Freegje de gateway-eigner trije fragen. Rint de server in brêge of rûtearre topology? Hokker fiere prefiksen moatte berikber wêze? En is der in ûnderhâldsfenster foar in konfiguraasjewiziging, of wurdt ferwachte dat it sûnder de server oan te reitsjen wurket?

De antwurden dêrop bepale oft jo fanmiddei in klantprobleem oplosse of folgjende wike in netwurkferoaring planje.

Stap 5: ferifiearje de migraasje fan beide kanten

Sadree’t de server in rûtearre konfiguraasje hat en jo in passend profyl hawwe, test dan yn dizze folchoarder: de tunnel komt ta stân, de klant krijt in adres út ’e nije poel, in host oan ’e fiere kant antwurdet, en in namme wurdt oplost fia de treaune DNS-ynstelling.

Test dan wat earder fan Ethernet-gedrach ôfhing. As in applikaasje apparaten fia broadcast ûntduts, sil it se net oer in rûtearre tunnel fine, en gjin inkelde klantkonfiguraasje bringt dat werom. Dy applikaasje hat in bekend adres, in lokale help-host of in oare ûntdekkingsmetoade nedich.

Einigje mei ien kear opnij ferbine en ien kear opnij opstarten, want in profyl dat allinnich by de earste poging wurket, betsjut meast dat de treaune rûtes of de DNS-ynstelling by it opnij ferbinen net tapast wurde.

As it noch mislearret, lês de earste flater

In klant dy’t it ynterface net meitsje kin, seit dat yn syn log, meast binnen de earste pear rigels. In klant dy’t it makket en dan net autentisearje kin, is de apparaatfraach al lang foarby, en trochgean mei TAP jeien ferspilet de sesje.

Hâld it orizjinele profyl en de wurkjende konfiguraasje oant de ferfanging bewiisd is. In klantferoaring weromdraaie is fluch; in brêge netwurk wer opbouwe dat immen op in miening ôfbrutsen hat, net.