OpenVPN TAP macOS-en: ellenőrizze a klienst, mielőtt hibakeresésbe kezd

Egy régi profil modern Macre kerül, a kliens panasz nélkül importálja, és a kapcsolat megszakad, vagy soha nem megy át rajta forgalom. Mielőtt egy délutánt tanúsítványokra szánna, olvassa el a profil eszközsorát. Ha ott dev tap áll, Ethernet jellegű interfészt kér a klienstől, és macOS-en ezeknek a munkameneteknek a többsége éppen ennél a kérésnél ér véget.

1. lépés: erősítse meg, hogy a profil valóban TAP-ot kér

A profilokat átnevezik, becsomagolják és újraexportálják, ezért azt a fájlt ellenőrizze, amelyet ténylegesen importált. Keresse az eszköz direktívát és minden olyan include-ot, amely felülírhatja. Az esetek többségében két sor kimenet eldönti a kérdést. Ha a dev és a dev-type is szerepel, a későbbi direktíva nyer, és pontosan ilyen részletet rejt el egy másolt profil.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Ha a fájl dev tap vagy dev tap0 tartalmaz, a kliensnek TAP-interfészt kell megvalósítania. Ha dev tun tartalmaz, a cikk többi része nem érvényes, és a hiba máshol van.

Jegyezze fel a kliens nevét és verzióját, a macOS verzióját és a profil eredetét. Ez a három tény dönti el, hogy az alábbi két út közül melyik egyáltalán lehetséges.

2. lépés: tudja, mit változtat valójában az eszközmód

A TUN-interfész IP-csomagokat továbbít. A kliens egy IP-partnernek címzett csomagokat olvas és ír, az operációs rendszer pedig úgy irányítja őket, mint bármely más interfészt.

A TAP-interfész Ethernet-kereteket továbbít, beleértve a broadcastot és az ARP-t. Ez teszi lehetővé, hogy egy áthidalt kiszolgáló DHCP-n keresztül osszon címeket, és egy kliens kiabálással fedezze fel az eszközöket, ezért támaszkodnak erre egyes régi tervek.

Az ára az, hogy a TAP-hoz olyan illesztőprogram kell, amely Ethernet-interfészként mutatja magát a rendszernek. Az Apple megszüntette azt a kernelbővítmény-modellt, amelyre a régebbi Mac TAP-illesztőprogramok támaszkodtak, és helyettesítő API-ja nem jelenik meg varázsütésre azokban a kliensekben, amelyeket soha nem frissítettek a használatához. Egy platform képessége és egy leszállított termék két különböző dolog.

3. lépés: válasszon kompatibilis kliens és migráció között

Két őszinte út van. Az első egy olyan kliens, amelynek kiadója a macOS-verziójára és hardverére nézve kijelenti, hogy támogatja a szükséges TAP-elrendezést. Nem egy négy évvel ezelőtti fórumbejegyzés és nem egy archivált telepítő: aktuális nyilatkozat plusz tesztkapcsolat.

A második a szolgáltatás átvitele TUN-ra, ami ugyanannyira kiszolgálóváltás, mint kliensváltás. Ehhez irányított topológia, címkészlet, a távoli hálózatok felé tolt útvonalak és azokból a hálózatokból a címkészlet felé vezető visszaút kell.

Ami nem működik, az az, hogy a helyi példányban tap-t tun-ra változtatja, és reménykedik. A kiszolgáló továbbra is hidat képez, a kliens most IP-t beszél, és semmi sem passzol.

4. lépés: gyűjtse össze a tényeket, mielőtt módosít egy működő szolgáltatást

Hagyja érintetlenül az eredeti profilt, és készítsen másolatot a kísérletekhez. Egy perc alatt visszaállítható fájl többet ér egy rendes mappánál. Amikor a csere működik, tudatosan törölje a másolatot, ahelyett hogy két profilt hagyna, amelyek a listában azonosnak tűnnek. Ez az egy szokás megakadályozza a sikertelen migrációt követő zavar nagy részét. Rögzítse a jelenlegi viselkedést, hogy bizonyítani tudja, mi változott: feljön-e az alagút, kap-e címet, elér-e egy ismert gazdagépet, és működik-e a névfeloldás.

Kérdezzen meg három dolgot az átjáró tulajdonosától. Áthidalt vagy irányított topológián fut a kiszolgáló? Mely távoli előtagoknak kell elérhetőnek lenniük? És van-e karbantartási ablak a konfiguráció módosítására, vagy elvárás, hogy a kiszolgáló érintése nélkül működjön?

Ezekre a válaszok döntik el, hogy ma délután egy kliensproblémát old meg, vagy jövő héten hálózati változást tervez.

5. lépés: ellenőrizze a migrációt mindkét végpont felől

Amint a kiszolgálónak irányított konfigurációja van, és Önnek megfelelő profilja, tesztelje ebben a sorrendben: létrejön az alagút, a kliens címet kap az új címkészletből, válaszol egy gazdagép a távoli oldalon, és egy név feloldódik a tolt DNS-beállításon keresztül.

Utána tesztelje azt, ami korábban az Ethernet-viselkedéstől függött. Ha egy alkalmazás broadcast útján fedezett fel eszközöket, irányított alagúton nem fogja megtalálni őket, és semmilyen klienskonfiguráció nem hozza vissza ezt. Az ilyen alkalmazásnak ismert címre, helyi segédgazdagépre vagy más felderítési módszerre van szüksége.

Fejezze be egy újracsatlakozással és egy újraindítással, mert az a profil, amely csak az első próbálkozásnál működik, általában azt jelenti, hogy a tolt útvonalak vagy a DNS-beállítás nem érvényesül újracsatlakozáskor.

Ha még mindig nem sikerül, olvassa el az első hibát

Az a kliens, amely nem tudja létrehozni az interfészt, ezt a naplójában mondja, általában az első sorokban. Az a kliens, amely létrehozza, majd nem tud hitelesíteni, már rég túl van az eszközkérdésen, és a TAP utáni további hajsza elpazarolja a munkamenetet.

Tartsa meg az eredeti profilt és a működő konfigurációt, amíg a csere be nem bizonyosodik. Egy kliensváltozás visszagörgetése gyors; egy áthidalt hálózat újraépítése, amelyet valaki egy sejtés alapján szétszedett, nem az.