dev tun su Windows mostra ancora un adattatore TAP. È un errore?

Gestione dispositivi mostra un TAP-Windows Adapter V9 mentre il profilo dice dev tun, e il tunnel funziona. Questa combinazione non è una configurazione errata, e alternare la modalità avanti e indietro non la cambierà. Il nome dell'adattatore riflette quale driver di Windows ha caricato il client, non quali pacchetti trasporta il tunnel. Leggi la riga del driver nel registro del client prima di modificare qualsiasi cosa.

Perché un tunnel di livello 3 riceve un adattatore Ethernet

Per gran parte della storia Windows del client non esisteva alcun adattatore virtuale di livello 3 utilizzabile. L'unica opzione era il driver TAP-Windows, che presenta un'interfaccia Ethernet. Il client emulava poi il comportamento di livello 2 mancante perché Windows potesse configurarlo. È questa emulazione il motivo per cui l'adattatore sembra ancora una scheda di rete.

Due parti di questa emulazione sono visibili se guardi: il client risponde all'ARP per l'indirizzo del tunnel e fornisce un piccolo lease DHCP alla macchina locale. Windows vede quindi un normale adattatore Ethernet con indirizzo MAC e driver NDIS, mentre il tunnel stesso trasporta pacchetti IP nudi. Il costume Ethernet appartiene al driver, non alla modalità del tunnel.

Cerca la riga del driver invece di giudicare dal nome

Due adattatori possono condividere un nome tra versioni del driver, quindi il solo nome non può dirti cosa è stato eseguito. Il registro del client nomina il dispositivo che ha aperto, e nelle build più recenti anche il driver che ha selezionato; è quella la riga da leggere.

Controlla tre cose nel registro, in quest'ordine: se il client ha aperto un adattatore, quale driver riporta e se è tornato a uno precedente dopo un errore. Una riga di ripiego è facile da perdere perché la connessione si stabilisce comunque, e il tunnel gira allora sul driver più vecchio mentre l'utente crede che quello nuovo sia attivo.

Passa al driver di livello 3 e controlla cosa deve essere presente

Il driver di livello 3 distribuito dal progetto WireGuard è disponibile dalla versione 2.5 del client, ma è facoltativo. Una sola direttiva lo seleziona:

windows-driver wintun

Il driver deve essere installato sulla macchina, e le build ufficiali ne contengono una copia firmata. Distribuisci quella versione firmata se confezioni il client da solo, perché un driver compilato privatamente collide con le copie che installano altri prodotti VPN. Queste collisioni producono errori lenti da attribuire, e di solito compaiono dopo l'arrivo di un secondo client VPN sulla macchina. Un driver mancante, al contrario, lascia una riga chiara nel registro.

Il driver impone anche autorizzazioni più severe, quindi il client crea l'adattatore tramite il suo servizio interattivo in esecuzione come account privilegiato. Avvia il client come normale processo utente senza quel servizio e la direttiva può fallire, il che lascia visibile l'adattatore installato in precedenza e sembra che il passaggio sia stato ignorato.

Quando TAP resta la risposta giusta

Se il tunnel deve trasportare frame Ethernet, traffico broadcast o protocolli non IP, serve un adattatore di livello 2 e il driver TAP deriva da quel requisito. Un progetto in bridge su Windows ha lo stesso vincolo, poiché l'interfaccia deve entrare in un dominio di livello 2.

Le prestazioni non sono un motivo per preferire l'uno all'altro a livello di nome dell'adattatore. La versione 2.6 aggiunge un driver di offload del canale dati che sposta l'elaborazione dei pacchetti nel kernel, ed è l'opzione che cambia le caratteristiche di throughput. È una decisione di capacità più che un requisito per connettersi, e dipende dalla build e dal pacchetto installato. Un profilo che funziona senza continua a funzionare.

Pulisci dopo il passaggio

Rimuovere il vecchio adattatore conta quanto aggiungere il nuovo. Un'interfaccia TAP rimasta può conservare un indirizzo e una route di una sessione precedente, e quelle voci sopravvivono alla connessione che le ha create. Elimina il dispositivo obsoleto in Gestione dispositivi, poi riconnettiti e verifica che la tabella di routing non lo menzioni più.

Se sono installati più prodotti VPN, annota quale pacchetto di driver porta ciascuno prima di eseguire il debug del profilo. Due client che installano build diverse dello stesso driver sono un conflitto che nessuna modifica al profilo risolverà. Disinstalla il client inutilizzato e riavvia, poi cerca adattatori duplicati in Gestione dispositivi. Solo dopo vale la pena confrontare le righe di registro tra i due prodotti.