OpenVPN TAP на macOS: проверете го клиентот пред да почнете со отстранување грешки

Стар профил слетува на современ Mac, клиентот го увезува без никаква забелешка, и врската паѓа или никогаш не поминува сообраќај. Пред да потрошите цело попладне на сертификати, прочитајте ја линијата за уредот во профилот. Ако таму пишува dev tap, барате од клиентот интерфејс од типот Ethernet, и на macOS токму на тоа барање завршуваат повеќето вакви сесии.

Чекор 1: потврдете дека профилот навистина бара TAP

Профилите се преименуваат, завиткуваат и повторно извезуваат, затоа проверете ја датотеката што навистина сте ја увезле. Барајте ја директивата за уредот и секој include што може да ја надмине. Две линии излез во повеќето случаи го решаваат прашањето. Кога се појавуваат и dev и dev-type, победува подоцнежната директива, и токму таков детаљ крие копиран профил.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Ако датотеката содржи dev tap или dev tap0, клиентот мора да имплементира TAP интерфејс. Ако содржи dev tun, остатокот од овој напис не важи и дефектот е на друго место.

Запишете го името и верзијата на клиентот, верзијата на macOS и од каде доаѓа профилот. Овие три факти одлучуваат кој од двата патишта подолу е воопшто возможен.

Чекор 2: знајте што всушност менува режимот на уредот

TUN интерфејсот пренесува IP пакети. Клиентот чита и пишува пакети упатени до IP партнер, а оперативниот систем ги насочува како секој друг интерфејс.

TAP интерфејсот пренесува Ethernet рамки, вклучувајќи broadcast и ARP. Тоа му овозможува на мостен сервер да доделува адреси преку DHCP и на клиент да открива уреди со викање, и затоа некои стари решенија зависат од тоа.

Цената е што TAP бара драјвер што на системот му претставува Ethernet интерфејс. Apple го укина моделот на јадрено проширување на кој се потпираа постарите TAP драјвери за Mac, а неговиот заменски API не се појавува магично во клиенти што никогаш не биле ажурирани да го користат. Способноста на платформата и испорачаниот производ се две различни нешта.

Чекор 3: изберете помеѓу компатибилен клиент и миграција

Има два чесни патишта. Првиот е клиент чиј издавач за вашата верзија на macOS и хардвер изјавува дека го поддржува потребното TAP уредување. Не објава на форум од пред четири години и не архивиран инсталатер: актуелна изјава плус тестна врска.

Вториот е преместување на услугата на TUN, што е исто толку серверска колку и клиентска промена. Потребна е насочена топологија, базен на адреси, туркани рути за оддалечените мрежи и повратен пат од тие мрежи до базенот.

Она што не работи е да го смените tap во tun во локалната копија и да се надевате. Серверот сѐ уште мости, клиентот сега зборува IP, и ништо не се совпаѓа.

Чекор 4: соберете ги фактите пред да смените услуга што работи

Оставете го оригиналниот профил недопрен и направете копија за експерименти. Датотека што можете да ја вратите за една минута вреди повеќе од уредна папка. Кога замената ќе проработи, намерно избришете ја копијата наместо да оставите два профила што изгледаат исто во список. Таа една навика го спречува најголемиот дел од конфузијата по неуспешна миграција. Забележете го тековното однесување за да можете да докажете што се сменило: дали тунелот се крева, дали добива адреса, дали стигнувате до еден познат домаќин и дали работи раздвојувањето на имиња.

Прашајте го сопственикот на портата три работи. Дали серверот работи со мостена или насочена топологија? Кои оддалечени префикси треба да бидат достапни? И има ли прозорец за одржување за промена на конфигурацијата, или се очекува да работи без допирање на серверот?

Одговорите на тоа одлучуваат дали попладнево решавате клиентски проблем или следната недела планирате мрежна промена.

Чекор 5: проверете ја миграцијата од двата краја

Кога серверот има насочена конфигурација и имате соодветен профил, тестирајте по овој редослед: тунелот се воспоставува, клиентот добива адреса од новиот базен, домаќин на оддалечената страна одговара, и име се раздвојува преку турканата DNS поставка.

Потоа тестирајте го она што порано зависеше од Ethernet однесувањето. Ако апликација откривала уреди преку broadcast, нема да ги најде преку насочен тунел, и никаква клиентска конфигурација тоа не го враќа. Таа апликација бара позната адреса, локален помошен домаќин или друг метод на откривање.

Завршете со едно повторно поврзување и едно рестартирање, бидејќи профил што работи само од прв обид обично значи дека турканите рути или DNS поставката не се применуваат при повторно поврзување.

Кога сѐ уште не успева, прочитајте ја првата грешка

Клиент што не може да го создаде интерфејсот го кажува тоа во својот дневник, обично во првите неколку реда. Клиент што го создава и потоа не успева да се автентицира одамна е подалеку од прашањето за уредот, и понатамошното бркање на TAP ја троши сесијата.

Чувајте го оригиналниот профил и работната конфигурација додека замената не биде докажана. Враќањето на клиентска промена е брзо; повторното градење на мостена мрежа што некој ја расклопи по претпоставка не е.