OpenVPN TAP v macOS: skontrolujte klienta, než začnete ladenie

Starý profil sa dostane na aktuálny Mac, klient ho importuje bez sťažnosti a spojenie padne alebo ním nikdy neprejde prevádzka. Než strávite popoludnie certifikátmi, prečítajte si v profile riadok zariadenia. Ak v ňom stojí dev tap, žiadate od klienta rozhranie typu Ethernet, a na macOS práve na tejto požiadavke končí väčšina takýchto relácií.

Krok 1: overte, že profil naozaj žiada TAP

Profily sa premenúvajú, zabalujú a znova exportujú, takže skontrolujte súbor, ktorý ste skutočne importovali. Hľadajte direktívu zariadenia a akýkoľvek include, ktorý by ju mohol prepísať. Dva riadky výstupu otázku vo väčšine prípadov vyriešia. Keď sa objavia dev aj dev-type, vyhráva neskoršia direktíva, a presne taký detail skrýva skopírovaný profil.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Ak súbor obsahuje dev tap alebo dev tap0, klient musí implementovať rozhranie TAP. Ak obsahuje dev tun, zvyšok tohto článku sa neuplatní a porucha je inde.

Zapíšte názov a verziu klienta, verziu macOS a odkiaľ profil pochádza. Tieto tri skutočnosti rozhodujú, ktorá z dvoch nižšie uvedených ciest je vôbec možná.

Krok 2: vedzte, čo režim zariadenia skutočne mení

Rozhranie TUN prenáša IP pakety. Klient číta a zapisuje pakety adresované IP partnerovi a operačný systém ich smeruje ako ktorékoľvek iné rozhranie.

Rozhranie TAP prenáša ethernetové rámce vrátane broadcastu a ARP. Práve to umožňuje premostenému serveru prideľovať adresy cez DHCP a klientovi objavovať zariadenia volaním, a preto na tom niektoré staršie návrhy závisia.

Cena je, že TAP potrebuje ovládač, ktorý systému predstaví ethernetové rozhranie. Apple zrušil model rozšírenia jadra, na ktorom stáli staršie ovládače TAP pre Mac, a jeho náhradné API sa zázrakom neobjaví v klientoch, ktoré nikdy neboli aktualizované, aby ho používali. Schopnosť platformy a dodaný produkt sú dve rôzne veci.

Krok 3: vyberte medzi kompatibilným klientom a migráciou

Existujú dve poctivé cesty. Prvou je klient, ktorého vydavateľ pre vašu verziu macOS a hardvér uvádza, že podporuje usporiadanie TAP, ktoré potrebujete. Nie príspevok na fóre spred štyroch rokov a nie archivovaný inštalátor: aktuálne vyhlásenie plus testovacie pripojenie.

Druhou je presun služby na TUN, čo je zmena servera rovnako ako zmena klienta. Potrebuje smerovanú topológiu, fond adries, posielané trasy pre vzdialené siete a spiatočnú cestu z týchto sietí do fondu.

Čo nefunguje, je upraviť v miestnej kópii tap na tun a dúfať. Server stále mostí, klient teraz hovorí IP a nič sa nezhoduje.

Krok 4: zhromaždite fakty, než zmeníte fungujúcu službu

Nechajte pôvodný profil nedotknutý a vytvorte kópiu na experimenty. Súbor, ktorý dokážete obnoviť za minútu, má väčšiu cenu než uprataný priečinok. Keď náhrada funguje, kópiu zámerne zmažte, namiesto toho, aby ste nechali dva profily, ktoré v zozname vyzerajú rovnako. Ten jediný zvyk zabráni väčšine zmätku po neúspešnej migrácii. Zaznamenajte súčasné správanie, aby ste mohli dokázať, čo sa zmenilo: dvíha sa tunel, dostáva adresu, dostanete sa na jeden známy hostiteľ a funguje preklad mien.

Opýtajte sa vlastníka brány na tri veci. Beží server na premostenej, alebo smerovanej topológii? Ktoré vzdialené prefixy majú byť dostupné? A existuje okno údržby na zmenu konfigurácie, alebo sa očakáva, že to bude fungovať bez zásahu do servera?

Odpovede na to určujú, či dnes popoludní riešite problém klienta, alebo plánujete zmenu siete na budúci týždeň.

Krok 5: overte migráciu z oboch koncov

Keď má server smerovanú konfiguráciu a vy máte zodpovedajúci profil, testujte v tomto poradí: tunel sa nadviaže, klient dostane adresu z nového fondu, hostiteľ na vzdialenej strane odpovie a meno sa preloží cez posielané nastavenie DNS.

Potom otestujte to, čo predtým záviselo od správania Ethernetu. Ak aplikácia objavovala zariadenia pomocou broadcastu, cez smerovaný tunel ich nenájde a žiadna klientska konfigurácia to nevráti. Taká aplikácia potrebuje známu adresu, miestneho pomocného hostiteľa alebo inú metódu objavovania.

Skončite jedným opätovným pripojením a jedným reštartom, pretože profil, ktorý funguje len na prvý pokus, zvyčajne znamená, že posielané trasy alebo nastavenie DNS sa pri opätovnom pripojení neuplatňujú.

Keď to stále zlyháva, prečítajte si prvú chybu

Klient, ktorý nedokáže vytvoriť rozhranie, to povie vo svojom logu, zvyčajne v prvých riadkoch. Klient, ktorý ho vytvorí a potom neprejde autentifikáciou, už dávno prešiel otázku zariadenia, a ďalšie naháňanie TAP plytvá reláciou.

Uchovajte pôvodný profil a fungujúcu konfiguráciu, kým nebude náhrada preukázaná. Vrátiť zmenu klienta je rýchle; znovu postaviť premostenú sieť, ktorú niekto rozobral na základe dohadu, také rýchle nie je.