macOS жүйесіндегі OpenVPN TAP: жөндеуге кіріспес бұрын клиентті тексеріңіз

Ескі профиль заманауи Mac-ке түседі, клиент оны еш шағымсыз импорттайды, ал байланыс үзіледі немесе трафик мүлде өтпейді. Сертификаттарға тұтас түстен кейінгі уақытты жұмсамас бұрын профильдегі құрылғы жолын оқыңыз. Егер онда dev tap деп жазылса, сіз клиенттен Ethernet тәрізді интерфейс сұрап отырсыз, және macOS-те мұндай сессиялардың көбісі дәл осы сұраныста аяқталады.

Қадам 1: профиль шынымен TAP сұрайтынын растаңыз

Профильдердің аты өзгертіледі, оралады және қайта экспортталады, сондықтан шынымен импорттаған файлды тексеріңіз. Құрылғы директивасын және оны басып кетуі мүмкін кез келген include іздеңіз. Көп жағдайда шығыстың екі жолы сұрақты шешеді. dev мен dev-type бірге көрінсе, кейінгі директива жеңеді, және көшірілген профиль дәл осындай бөлшекті жасырады.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Егер файлда dev tap немесе dev tap0 болса, клиент TAP интерфейсін іске асыруы керек. Егер онда dev tun болса, бұл мақаланың қалғаны қолданылмайды және ақау басқа жерде.

Клиенттің аты мен нұсқасын, macOS нұсқасын және профиль қайдан келгенін жазып алыңыз. Осы үш факт төмендегі екі жолдың қайсысы мүлде мүмкін екенін анықтайды.

Қадам 2: құрылғы режимі шын мәнінде нені өзгертетінін біліңіз

TUN интерфейсі IP пакеттерін тасымалдайды. Клиент IP серіктесіне адрестелген пакеттерді оқып жазады, ал операциялық жүйе оларды кез келген басқа интерфейс сияқты маршруттайды.

TAP интерфейсі Ethernet кадрларын, оның ішінде broadcast пен ARP-ны тасымалдайды. Дәл осы көпірленген серверге DHCP арқылы мекенжайлар таратуға және клиентке құрылғыларды айқайлап табуға мүмкіндік береді, сондықтан кейбір ескі жобалар оған тәуелді.

Бағасы — TAP жүйеге Ethernet интерфейсін ұсынатын драйверді қажет етеді. Apple ескі Mac TAP драйверлері сүйенген ядро кеңейту үлгісін тоқтатты, ал оның орнын басатын API оны пайдалану үшін ешқашан жаңартылмаған клиенттерде сиқырлы түрде пайда болмайды. Платформа мүмкіндігі мен жеткізілген өнім екі бөлек нәрсе.

Қадам 3: үйлесімді клиент пен көшіру арасында таңдаңыз

Екі адал жол бар. Біріншісі — баспагері сіздің macOS шығарылымыңыз бен жабдығыңыз үшін қажет TAP конфигурациясын қолдайтынын мәлімдейтін клиент. Төрт жыл бұрынғы форум жазбасы емес және архивтелген орнатушы емес: ағымдағы мәлімдеме және сынақ байланысы.

Екіншісі — қызметті TUN-ға көшіру, бұл клиенттің өзгеруі қаншалықты сервердің өзгеруі соншалықты. Оған маршрутталған топология, мекенжай пулы, қашықтағы желілер үшін итерілген маршруттар және сол желілерден пулға қайтатын жол қажет.

Жұмыс істемейтіні — жергілікті көшірмеде tap-ті tun-ке өзгертіп, үміттену. Сервер әлі де көпір жасайды, клиент енді IP сөйлейді, және ештеңе сәйкеспейді.

Қадам 4: жұмыс істеп тұрған қызметті өзгертуден бұрын фактілерді жинаңыз

Түпнұсқа профильді тиіспестен қалдырып, тәжірибелер үшін көшірме жасаңыз. Бір минутта қалпына келтіре алатын файл реттелген қалтадан қымбат. Ауыстырғыш іске қосылған соң көшірмені әдейі жойыңыз, тізімде бірдей көрінетін екі профиль қалдырмаңыз. Сол бір дағды сәтсіз көшіруден кейінгі шатасудың көбін болдырмайды. Ағымдағы мінез-құлықты жазып алыңыз, сонда не өзгергенін дәлелдей аласыз: туннель көтеріле ме, мекенжай ала ма, бір белгілі хостқа жетесіз бе және атауларды шешу жұмыс істей ме.

Шлюз иесіне үш сұрақ қойыңыз. Сервер көпірлі немесе маршрутталған топологияда жұмыс істеп тұр ма? Қандай қашықтағы префикстерге қол жеткізу керек? Және конфигурацияны өзгерту үшін техникалық қызмет көрсету терезесі бар ма, әлде серверге тиіспестен жұмыс істеуі күтіле ме?

Осыларға жауаптар бүгін түстен кейін клиент мәселесін шешіп жатқаныңызды немесе келесі аптада желі өзгерісін жоспарлап жатқаныңызды анықтайды.

Қадам 5: көшіруді екі жақтан тексеріңіз

Серверде маршрутталған конфигурация болып, сізде сәйкес профиль болған соң мына ретпен сынаңыз: туннель орнығады, клиент жаңа пулдан мекенжай алады, қашықтағы жақтағы хост жауап береді, және атау итерілген DNS параметрі арқылы шешіледі.

Содан кейін бұрын Ethernet мінез-құлқына тәуелді болғанды сынаңыз. Егер қолданба құрылғыларды broadcast арқылы тапса, ол оларды маршрутталған туннель арқылы таппайды, және клиент конфигурациясының қандай да бір мөлшері оны қайтармайды. Сол қолданбаға белгілі мекенжай, жергілікті көмекші хост немесе басқа табу әдісі қажет.

Бір рет қайта қосылып, бір рет қайта жүктеумен аяқтаңыз, өйткені тек бірінші әрекетте жұмыс істейтін профиль әдетте итерілген маршруттар немесе DNS параметрі қайта қосылғанда қолданылмайтынын білдіреді.

Бәрібір сәтсіз болса, бірінші қатені оқыңыз

Интерфейсті жасай алмаған клиент мұны журналында, әдетте алғашқы жолдарда айтады. Оны жасап, содан кейін аутентификациядан өте алмаған клиент құрылғы мәселесінен әлдеқашан өткен, ал TAP-тың соңынан жүгіру сессияны ысырап етеді.

Ауыстырғыш дәлелденгенше түпнұсқа профиль мен жұмыс істеп тұрған конфигурацияны сақтаңыз. Клиент өзгерісін кері қайтару жылдам; біреу болжаммен бұзған көпірлі желіні қайта құру олай емес.