OpenVPN TAP na macOS-u: provjerite klijenta prije otklanjanja pogrešaka

Stari profil završi na aktualnom Macu, klijent ga uveze bez prigovora, a veza padne ili nikada ne propusti promet. Prije nego potrošite popodne na certifikate, pročitajte redak uređaja u profilu. Ako piše dev tap, od klijenta tražite sučelje ethernetskog tipa, a na macOS-u upravo na tom zahtjevu završava većina takvih sesija.

Korak 1: potvrdite da profil doista traži TAP

Profili se preimenuju, obavijaju i ponovno izvoze, pa provjerite datoteku koju ste stvarno uvezli. Tražite direktivu uređaja i svaki uključeni sadržaj koji bi je mogao nadjačati. Dvije linije izlaza riješe pitanje u većini slučajeva. Kada se pojave i dev i dev-type, pobjeđuje kasnija direktiva, a kopirani profil skriva upravo takav detalj.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Ako datoteka sadrži dev tap ili dev tap0, klijent mora implementirati TAP sučelje. Ako sadrži dev tun, ostatak ovog članka se ne primjenjuje i kvar je negdje drugdje.

Zapišite naziv i verziju klijenta, verziju macOS-a i odakle profil dolazi. Te tri činjenice odlučuju koji je od dvaju putova u nastavku uopće moguć.

Korak 2: shvatite što način rada uređaja zapravo mijenja

TUN sučelje prenosi IP pakete. Klijent čita i piše pakete upućene IP partneru, a operativni sustav ih usmjerava kao i svako drugo sučelje.

TAP sučelje prenosi Ethernet okvire, uključujući broadcast i ARP. To omogućuje premoštenom poslužitelju da dodjeljuje adrese putem DHCP-a, a klijentu da otkrije uređaje dozivanjem, zbog čega se neki stari dizajni na to oslanjaju.

Cijena je to što TAP treba upravljački program koji sustavu predstavlja Ethernet sučelje. Apple je ukinuo model proširenja jezgre na kojem su se temeljili stariji TAP upravljački programi za Mac, a njegov zamjenski API ne pojavljuje se čarolijom u klijentima koji nikada nisu ažurirani da ga koriste. Sposobnost platforme i isporučeni proizvod dvije su različite stvari.

Korak 3: odaberite između kompatibilnog klijenta i migracije

Postoje dva poštena puta. Prvi je klijent čiji izdavač za vaše izdanje macOS-a i hardver navodi da podržava TAP raspored koji vam treba. Ne objava na forumu od prije četiri godine i ne arhivirani instalater: aktualna izjava plus testna veza.

Drugi je premještanje usluge na TUN, što je promjena poslužitelja koliko i promjena klijenta. Potrebna je usmjerena topologija, bazen adresa, gurnute rute za udaljene mreže i povratni put od tih mreža do bazena.

Ono što ne radi jest urediti tap u tun u lokalnoj kopiji i nadati se. Poslužitelj još most gradi, klijent sada govori IP, i ništa se ne slaže.

Korak 4: prikupite činjenice prije nego promijenite uslugu koja radi

Ostavite izvorni profil netaknutim i napravite kopiju za eksperimente. Datoteka koju možete vratiti za minutu vrijedi više od uredne mape. Kada zamjena proradi, namjerno izbrišite kopiju umjesto da ostavite dva profila koja na popisu izgledaju isto. Ta jedna navika sprječava većinu zbrke nakon neuspjele migracije. Zabilježite trenutno ponašanje da biste mogli dokazati što se promijenilo: podiže li se tunel, dobiva li adresu, možete li dosegnuti jedan poznati host i radi li razrješavanje imena.

Pitajte vlasnika pristupnika tri pitanja. Radi li poslužitelj na premoštenoj ili usmjerenoj topologiji? Koji udaljeni prefiksi trebaju biti dostupni? I postoji li prozor za održavanje za promjenu konfiguracije, ili se očekuje da to radi bez diranja poslužitelja?

Odgovori na to određuju rješavate li problem klijenta danas popodne ili planirate promjenu mreže sljedeći tjedan.

Korak 5: provjerite migraciju s oba kraja

Kada poslužitelj ima usmjerenu konfiguraciju i kada imate odgovarajući profil, testirajte ovim redoslijedom: tunel se uspostavi, klijent dobije adresu iz novog bazena, host na udaljenoj strani odgovori i ime se razriješi kroz gurnutu DNS postavku.

Zatim testirajte ono što je prije ovisilo o Ethernet ponašanju. Ako je aplikacija otkrivala uređaje broadcastom, neće ih naći kroz usmjereni tunel i nikakva klijentska konfiguracija to ne vraća. Toj aplikaciji treba poznata adresa, lokalni pomoćni host ili druga metoda otkrivanja.

Završite jednim ponovnim spajanjem i jednim ponovnim pokretanjem, jer profil koji radi samo iz prvog pokušaja obično znači da se gurnute rute ili DNS postavka ne primjenjuju pri ponovnom spajanju.

Kada i dalje ne uspije, pročitajte prvu grešku

Klijent koji ne može stvoriti sučelje to kaže u svom zapisu, obično unutar prvih nekoliko redaka. Klijent koji ga stvori, a zatim ne uspije proći provjeru autentičnosti, odavno je prošao pitanje uređaja i dalje juriti TAP znači trošiti sesiju.

Čuvajte izvorni profil i radnu konfiguraciju dok zamjena ne bude dokazana. Vraćanje klijentske promjene je brzo; ponovno građenje premoštene mreže koju je netko razmontirao na temelju nagađanja nije.