OpenVPN TAP op macOS: iwwerpréift de Client, ier Dir debugt

En alen Profil lant op engem aktuellen Mac, de Client importéiert en ouni Klo, an d’Verbindung fällt ewech oder et geet ni Verkéier duerch. Ier Dir en Nomëtteg mat Zertifikater verbréngt, liest d’Gerätelinie am Profil. Wann do dev tap steet, freet Dir de Client no enger Ethernet-aarteger Interface, an op macOS ende meescht vun dëse Sessiounen genee bei dëser Ufro.

Schrëtt 1: bestätegt, datt de Profil wierklech TAP freet

Profiler ginn ëmbenannt, agepakelt an nei exportéiert, also kontrolléiert d’Datei, déi Dir tatsächlech importéiert hutt. Sicht no der Gerätedirektiv an no all include, deen se iwwerschreiwe kéint. Zwee Zeilen Ausgab entscheeden d’Fro an de meeschte Fäll. Wann souwuel dev wéi och dev-type optrieden, gewënnt déi méi spéit Direktiv, an genau esou en Detail verstoppt e kopéierte Profil.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Wann d’Datei dev tap oder dev tap0 enthält, muss de Client eng TAP-Interface ëmsetzen. Wann se dev tun enthält, gëllt de Rescht vun dësem Artikel net an de Feeler läit soss anzwousch.

Schreift den Numm an d’Versioun vum Client, d’macOS-Versioun an d’Herkunft vum Profil op. Déi dräi Fakten entscheeden, wéi ee vun den zwou Weeër hei drënner iwwerhaapt méiglech ass.

Schrëtt 2: wësst, wat de Gerätemodus tatsächlech ännert

Eng TUN-Interface dréit IP-Paketen. De Client liest a schreift Paketen, déi un en IP-Partner adresséiert sinn, an d’Betriebssystem routet se wéi all aner Interface.

Eng TAP-Interface dréit Ethernet-Framen, dorënner Broadcast an ARP. Dat erlaabt engem gebréckten Server, Adressen iwwer DHCP ze verdeelen, an engem Client, Geräter duerch Ruffen ze entdecken, an dofir hänken eenzel al Designen dovun of.

De Präis ass, datt TAP en Treiber brauch, deen dem System eng Ethernet-Interface presentéiert. Apple huet de Kernel-Erweiderungsmodell ofgeschaaft, op deem méi al TAP-Treiber fir Mac gebaut hunn, an hir Ersatz-API erschéngt net wéi duerch Zauber a Clienten, déi ni aktualiséiert goufen, fir se ze benotzen. Eng Plattformfähegkeet an en ausgeliwwerte Produkt si zwee verschidde Saachen.

Schrëtt 3: wielt tëscht engem kompatibelen Client an enger Migratioun

Et gëtt zwou éierlech Weeër. Déi éischt ass e Client, deem säi Verleger fir Är macOS-Versioun an Är Hardware erkläert, datt en déi TAP-Arrangement ënnerstëtzt, déi Dir braucht. Net e Forumsbäitrag vu viru véier Joer an net en archivéierten Installateur: eng aktuell Deklaratioun plus eng Testverbindung.

Déi zweet ass, de Service op TUN ze plënneren, wat esou vill Server- wéi Clientännerung ass. Et brauch eng gerouteten Topologie, en Adresspool, gepushte Routen fir déi distanzéiert Netzwierker an e Retourwee vun dësen Netzwierker zeréck an de Pool.

Wat net funktionéiert, ass tap an Ärer lokaler Kopie an tun z’änneren an ze hoffen. De Server bréckt nach ëmmer, de Client schwätzt elo IP, an näischt passt zesummen.

Schrëtt 4: sammelt d’Fakten, ier Dir e funktionéierende Service ännert

Loosst den Originalprofil onberéiert a maacht eng Kopie fir Experimenter. Eng Datei, déi Dir an enger Minutt restauréiere kënnt, ass méi wäert wéi en opgeraumte Dossier. Wann den Ersatz funktionéiert, läscht d’Kopie bewosst, amplaz zwee Profiler ze loossen, déi an enger Lëscht identesch ausgesinn. Dee eenzege Brauch verhënnert de gréissten Deel vun der Konfusioun no enger gescheiterter Migratioun. Hällt dat aktuellt Verhalen fest, fir kënnen ze beweisen, wat sech geännert huet: geet den Tunnel erop, kritt en eng Adress, erreecht Dir en bekannten Host, a funktionéiert d’Nimmopléisung.

Frot de Besëtzer vum Gateway dräi Saachen. Leeft de Server op enger gebréckter oder gerouteter Topologie? Wéi eng distanzéiert Prefixe sollten erreechbar sinn? An gëtt et eng Maintenance-Fënster fir eng Konfiguratiounsännerung, oder gëtt erwaart, datt et ouni de Server unzefänke funktionéiert?

D’Äntwerten dorobber bestëmmen, ob Dir dësen Nomëtteg e Clientproblem léist oder d’nächst Woch eng Netzwierkännerung plangt.

Schrëtt 5: verifizéiert d’Migratioun vun zwou Säiten

Soubal de Server eng geroutet Konfiguratioun huet an Dir e passende Profil hutt, testt an dëser Rei: den Tunnel steet, de Client kritt eng Adress aus dem neie Pool, en Host op der distanzéierter Säit äntwert, an en Numm gëtt iwwer déi gepushte DNS-Astellung opgeléist.

Testt duerno, wat virdrun vum Ethernet-Verhalen ofhänkt. Wann eng Applikatioun Geräter duerch Broadcast entdeckt huet, fënnt se se net iwwer en gerouteten Tunnel, an keng Clientkonfiguratioun bréngt dat zeréck. Déi Applikatioun brauch eng bekannt Adress, en lokalen Hëllefs-Host oder eng aner Entdeckungsmethod.

Schliesst mat engem Neiverbannen an engem Neistart of, well e Profil, deen nëmmen um éischten Versuch funktionéiert, meeschtens bedeit, datt déi gepushte Routen oder d’DNS-Astellung beim Neiverbannen net ugewannt ginn.

Wann et nach ëmmer feelt, liest den éischte Feeler

E Client, deen d’Interface net ka schafen, seet dat a sengem Log, meeschtens an den éischte Zeilen. E Client, deen se schaaft an duerno bei der Authentifikatioun feelt, ass laang iwwer d’Gerätefro eraus, an TAP weider ze jagen verschwënnt d’Sessioun.

Hält den Originalprofil an déi funktionéierend Konfiguratioun, bis den Ersatz bewisen ass. Eng Clientännerung zréckzedréien ass séier; en gebréckt Netzwierk nei opzebauen, dat een op engem Verdacht ofgebaut huet, ass et net.