OpenVPN TAP operētājsistēmā macOS: pārbaudiet klientu pirms atkļūdošanas

Vecs profils nonāk modernā Mac datorā, klients to importē bez iebildumiem, un savienojums pārtrūkst vai trafiks nekad neplūst. Pirms veltāt veselu pēcpusdienu sertifikātiem, izlasiet profila ierīces rindu. Ja tur rakstīts dev tap, jūs lūdzat klientam Ethernet tipa saskarni, un macOS tieši šajā pieprasījumā beidzas lielākā daļa šādu sesiju.

1. solis: pārliecinieties, ka profils tiešām pieprasa TAP

Profili tiek pārdēvēti, ietīti un eksportēti no jauna, tāpēc pārbaudiet failu, ko tiešām importējāt. Meklējiet ierīces direktīvu un jebkuru include, kas to varētu aizstāt. Divas izvades rindas lielākajā daļā gadījumu atrisina jautājumu. Kad parādās gan dev, gan dev-type, uzvar vēlākā direktīva, un tieši šādu detaļu slēpj nokopēts profils.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Ja failā ir dev tap vai dev tap0, klientam ir jāievieš TAP saskarne. Ja tajā ir dev tun, pārējais raksts neattiecas, un kļūme ir citur.

Pierakstiet klienta nosaukumu un versiju, macOS versiju un to, no kurienes nācis profils. Šie trīs fakti nosaka, kurš no diviem zemāk minētajiem ceļiem vispār ir iespējams.

2. solis: uzziniet, ko ierīces režīms patiešām maina

TUN saskarne pārsūta IP paketes. Klients lasa un raksta paketes, kas adresētas IP partnerim, un operētājsistēma tās maršrutē kā jebkuru citu saskarni.

TAP saskarne pārsūta Ethernet kadrus, tostarp apraidi un ARP. Tas ļauj savienotam serverim sadalīt adreses ar DHCP un klientam atklāt ierīces, kliedzot, tāpēc daži vecāki risinājumi uz to paļaujas.

Cena ir tā, ka TAP nepieciešams draiveris, kas sistēmai piedāvā Ethernet saskarni. Apple pārtrauca kodola paplašinājuma modeli, uz kuru balstījās vecāki Mac TAP draiveri, un tā aizstājēja API neparādās brīnumainā kārtā klientos, kas nekad nav atjaunināti tā lietošanai. Platformas iespēja un piegādāts produkts ir divas dažādas lietas.

3. solis: izvēlieties starp saderīgu klientu un migrāciju

Ir divi godīgi ceļi. Pirmais ir klients, kura izdevējs jūsu macOS versijai un aparatūrai norāda, ka tas atbalsta nepieciešamo TAP konfigurāciju. Nevis foruma ieraksts pirms četriem gadiem un nevis arhivēts instalētājs: pašreizējs paziņojums plus testa savienojums.

Otrais ir pārcelt pakalpojumu uz TUN, kas ir tikpat liels servera kā klienta mainījums. Tam vajag maršrutētu topoloģiju, adrešu kopu, virzītus maršrutus tāltīkliem un atgriešanās ceļu no šiem tīkliem uz kopu.

Kas nestrādā, ir mainīt tap uz tun lokālajā kopijā un cerēt. Serveris joprojām tiltu veido, klients tagad runā IP, un nekas nesakrīt.

4. solis: apkopojiet faktus pirms strādājoša pakalpojuma maiņas

Atstājiet sākotnējo profilu neskartu un izveidojiet eksperimentiem kopiju. Fails, ko varat atjaunot minūtes laikā, ir vērtīgāks par kārtīgu mapi. Kad aizstājējs strādā, apzināti izdzēsiet kopiju, nevis atstājiet divus profilus, kas sarakstā izskatās vienādi. Šis viens ieradums novērš lielāko daļu apjukuma pēc neveiksmīgas migrācijas. Pierakstiet pašreizējo uzvedību, lai varētu pierādīt, kas mainījās: vai tunelis paceļas, vai saņem adresi, vai sasniedzat vienu zināmu resursdatoru un vai darbojas nosaukumu izšķiršana.

Uzdodiet vārtejas īpašniekam trīs jautājumus. Vai serveris darbojas savienotā vai maršrutētā topoloģijā? Kuri attālinātie prefiksi ir jāsasniedz? Un vai konfigurācijas maiņai ir apkopes logs, vai tiek gaidīts, ka tas strādās, serverim nepiekļūstot?

Atbildes uz to nosaka, vai šodien pēcpusdienā risinat klienta problēmu, vai nākamnedēļ plānojat tīkla izmaiņas.

5. solis: pārbaudiet migrāciju no abām pusēm

Kad serverim ir maršrutēta konfigurācija un jums ir atbilstošs profils, pārbaudiet šādā secībā: tunelis izveidojas, klients saņem adresi no jaunās kopas, attālinātās puses resursdators atbild, un nosaukums tiek izšķirts ar virzīto DNS iestatījumu.

Pēc tam pārbaudiet to, kas agrāk bija atkarīgs no Ethernet uzvedības. Ja lietotne atklāja ierīces ar apraidi, maršrutētā tunelī tās neatradīs, un nekāda klienta konfigurācija to neatgriezīs. Šādai lietotnei vajag zināmu adresi, vietēju palīgresursdatoru vai citu atklāšanas metodi.

Pabeidziet ar vienu atkārtotu savienojumu un vienu pārstartēšanu, jo profils, kas strādā tikai pirmajā mēģinājumā, parasti nozīmē, ka virzītie maršruti vai DNS iestatījums netiek piemērots atkārtotas savienošanas laikā.

Ja joprojām neizdodas, izlasiet pirmo kļūdu

Klients, kas nevar izveidot saskarni, to pasaka savā žurnālā, parasti pirmajās rindās. Klients, kas to izveido un pēc tam neiztur autentifikāciju, jau sen ir pāri ierīces jautājumam, un turpmāka TAP vajāšana izšķiež sesiju.

Saglabājiet sākotnējo profilu un strādājošo konfigurāciju, līdz aizstājējs ir pierādīts. Klienta izmaiņu atritināt ir ātri; savienota tīkla, ko kāds izjauca pēc nojausmas, atjaunošana nav tik ātra.