OpenVPN TAP na macOS-u: proverite klijenta pre nego što počnete sa otklanjanjem grešaka

Stari profil završi na aktuelnom Macu, klijent ga uveze bez prigovora, a veza padne ili nikada ne propusti saobraćaj. Pre nego što potrošite popodne na sertifikate, pročitajte red uređaja u profilu. Ako piše dev tap, od klijenta tražite interfejs ethernetskog tipa, a na macOS-u upravo na tom zahtevu završava većina takvih sesija.

Korak 1: potvrdite da profil zaista traži TAP

Profili se preimenuju, obavijaju i ponovo izvoze, pa proverite datoteku koju ste stvarno uvezli. Tražite direktivu uređaja i svaki uključeni sadržaj koji bi je mogao nadjačati. Dve linije izlaza reše pitanje u većini slučajeva. Kada se pojave i dev i dev-type, pobeđuje kasnija direktiva, a kopirani profil skriva upravo takav detalj.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Ako datoteka sadrži dev tap ili dev tap0, klijent mora implementirati TAP interfejs. Ako sadrži dev tun, ostatak ovog članka se ne primenjuje i kvar je negde drugde.

Zapišite naziv i verziju klijenta, verziju macOS-a i odakle profil dolazi. Te tri činjenice odlučuju koji je od dvaju puteva u nastavku uopšte moguć.

Korak 2: shvatite šta režim uređaja zapravo menja

TUN interfejs prenosi IP pakete. Klijent čita i piše pakete upućene IP partneru, a operativni sistem ih usmerava kao i svaki drugi interfejs.

TAP interfejs prenosi Ethernet okvire, uključujući broadcast i ARP. To omogućava premošćenom serveru da dodeljuje adrese putem DHCP-a, a klijentu da otkrije uređaje dozivanjem, zbog čega se neki stari dizajni na to oslanjaju.

Cena je to što TAP traži upravljački program koji sistemu predstavlja Ethernet interfejs. Apple je ukinuo model proširenja jezgra na kojem su se temeljili stariji TAP upravljački programi za Mac, a njegov zamenski API ne pojavljuje se čarolijom u klijentima koji nikada nisu ažurirani da ga koriste. Sposobnost platforme i isporučeni proizvod dve su različite stvari.

Korak 3: odaberite između kompatibilnog klijenta i migracije

Postoje dva poštena puta. Prvi je klijent čiji izdavač za vaše izdanje macOS-a i hardver navodi da podržava TAP raspored koji vam treba. Ne objava na forumu od pre četiri godine i ne arhivirani instalater: aktuelna izjava plus testna veza.

Drugi je premeštanje usluge na TUN, što je promena servera koliko i promena klijenta. Potrebna je usmerena topologija, bazen adresa, gurnute rute za udaljene mreže i povratni put od tih mreža do bazena.

Ono što ne radi jest urediti tap u tun u lokalnoj kopiji i nadati se. Server još most gradi, klijent sada govori IP, i ništa se ne slaže.

Korak 4: prikupite činjenice pre nego što promenite uslugu koja radi

Ostavite izvorni profil netaknutim i napravite kopiju za eksperimente. Datoteka koju možete vratiti za minut vredi više od uredne fascikle. Kada zamena proradi, namerno izbrišite kopiju umesto da ostavite dva profila koja na listi izgledaju isto. Ta jedna navika sprečava većinu zbrke nakon neuspele migracije. Zabeležite trenutno ponašanje da biste mogli dokazati šta se promenilo: podiže li se tunel, dobija li adresu, možete li dosegnuti jedan poznati host i radi li razrešavanje imena.

Pitajte vlasnika pristupnika tri pitanja. Radi li server na premošćenoj ili usmerenoj topologiji? Koji udaljeni prefiksi treba da budu dostupni? I postoji li prozor za održavanje za promenu konfiguracije, ili se očekuje da to radi bez diranja servera?

Odgovori na to određuju rešavate li problem klijenta danas popodne ili planirate promenu mreže sledeće nedelje.

Korak 5: proverite migraciju sa oba kraja

Kada server ima usmerenu konfiguraciju i kada imate odgovarajući profil, testirajte ovim redosledom: tunel se uspostavi, klijent dobije adresu iz novog bazena, host na udaljenoj strani odgovori i ime se razreši kroz gurnutu DNS postavku.

Zatim testirajte ono što je pre zavisilo od Ethernet ponašanja. Ako je aplikacija otkrivala uređaje broadcastom, neće ih naći kroz usmereni tunel i nikakva klijentska konfiguracija to ne vraća. Toj aplikaciji treba poznata adresa, lokalni pomoćni host ili druga metoda otkrivanja.

Završite jednim ponovnim spajanjem i jednim ponovnim pokretanjem, jer profil koji radi samo iz prvog pokušaja obično znači da se gurnute rute ili DNS postavka ne primenjuju pri ponovnom spajanju.

Kada i dalje ne uspe, pročitajte prvu grešku

Klijent koji ne može stvoriti interfejs to kaže u svom zapisu, obično unutar prvih nekoliko redaka. Klijent koji ga stvori, a zatim ne uspe proveru autentičnosti, odavno je prošao pitanje uređaja i dalje juriti TAP znači trošiti sesiju.

Čuvajte izvorni profil i radnu konfiguraciju dok zamena ne bude dokazana. Vraćanje klijentske promene je brzo; ponovno građenje premošćene mreže koju je neko razmontirao na osnovu nagađanja nije.