OpenVPN TAP na macOS: preverite odjemalca, preden začnete z odpravljanjem napak

Star profil pristane na sodobnem Macu, odjemalec ga uvozi brez pritožbe, povezava pa pade ali promet nikoli ne steče. Preden zapravite popoldne za potrdila, preberite vrstico naprave v profilu. Če piše dev tap, od odjemalca zahtevate vmesnik v slogu Ethernet, in na macOS se večina takšnih sej konča prav pri tej zahtevi.

Korak 1: potrdite, da profil res zahteva TAP

Profili se preimenujejo, zavijajo in znova izvažajo, zato preverite datoteko, ki ste jo dejansko uvozili. Poiščite direktivo naprave in vsak include, ki bi jo lahko prepisal. Dve vrstici izpisa vprašanje v večini primerov razrešita. Ko se pojavita dev in dev-type, zmaga poznejša direktiva, in prav takšno podrobnost skriva kopiran profil.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Če datoteka vsebuje dev tap ali dev tap0, mora odjemalec izvesti vmesnik TAP. Če vsebuje dev tun, preostanek tega članka ne velja in napaka je drugje.

Zapišite ime in različico odjemalca, različico macOS in od kod prihaja profil. Ta tri dejstva odločajo, katera od dveh poti spodaj je sploh mogoča.

Korak 2: vedite, kaj način naprave dejansko spremeni

Vmesnik TUN prenaša pakete IP. Odjemalec bere in piše pakete, naslovljene na partnerja IP, operacijski sistem pa jih usmerja kot vsak drug vmesnik.

Vmesnik TAP prenaša okvire Ethernet, vključno z broadcast in ARP. To omogoča premostenemu strežniku razdeljevanje naslovov prek DHCP in odjemalcu odkrivanje naprav s klicanjem, zato se nekateri stari načrti na to opirajo.

Cena je, da TAP potrebuje gonilnik, ki sistemu predstavi vmesnik Ethernet. Apple je opustil model razširitve jedra, na katerem so temeljili starejši gonilniki TAP za Mac, njegov nadomestni API pa se ne pojavi čudežno v odjemalcih, ki niso bili nikoli posodobljeni za njegovo uporabo. Zmogljivost platforme in dobavljen izdelek sta dve različni stvari.

Korak 3: izberite med združljivim odjemalcem in migracijo

Obstajata dve pošteni poti. Prva je odjemalec, katerega izdajatelj za vašo različico macOS in strojno opremo navaja, da podpira potrebno razporeditev TAP. Ne objava na forumu od pred štirimi leti in ne arhiviran namestitveni program: trenutna izjava plus preskusna povezava.

Druga je selitev storitve na TUN, kar je sprememba strežnika prav toliko kot odjemalca. Potrebuje usmerjeno topologijo, nabor naslovov, potisnjene poti za oddaljena omrežja in povratno pot od teh omrežij do nabora.

Kar ne deluje, je spremeniti tap v tun v lokalni kopiji in upati. Strežnik še vedno mosti, odjemalec zdaj govori IP in nič se ne ujema.

Korak 4: zberite dejstva, preden spremenite delujočo storitev

Pustite izvirni profil nedotaknjen in naredite kopijo za poskuse. Datoteka, ki jo lahko obnovite v minuti, je vredna več kot urejena mapa. Ko nadomestilo deluje, kopijo namenoma izbrišite, namesto da pustite dva profila, ki sta na seznamu videti enaka. Ta ena navada prepreči večino zmede po neuspešni migraciji. Zabeležite trenutno vedenje, da boste lahko dokazali, kaj se je spremenilo: ali se tunel dvigne, ali dobi naslov, ali dosežete enega znanega gostitelja in ali deluje razreševanje imen.

Vprašajte lastnika prehoda tri stvari. Ali strežnik teče v premosteni ali usmerjeni topologiji? Kateri oddaljeni predponi morata biti dosegljivi? In ali je za spremembo konfiguracije predvideno vzdrževalno okno, ali naj bi delovalo brez dotikanja strežnika?

Odgovori na to odločajo, ali danes popoldne rešujete težavo odjemalca ali prihodnji teden načrtujete spremembo omrežja.

Korak 5: preverite migracijo z obeh koncev

Ko ima strežnik usmerjeno konfiguracijo in imate vi ustrezen profil, preizkusite v tem vrstnem redu: tunel se vzpostavi, odjemalec prejme naslov iz novega nabora, gostitelj na oddaljeni strani odgovori in ime se razreši prek potisnjene nastavitve DNS.

Nato preizkusite, kar je prej bilo odvisno od vedenja Etherneta. Če je aplikacija odkrivala naprave z broadcast, jih skozi usmerjeni tunel ne bo našla in nobena konfiguracija odjemalca tega ne vrne. Taka aplikacija potrebuje znan naslov, lokalnega pomožnega gostitelja ali drugačno metodo odkrivanja.

Končajte z eno ponovno povezavo in enim ponovnim zagonom, ker profil, ki deluje le ob prvem poskusu, običajno pomeni, da se potisnjene poti ali nastavitev DNS ob ponovnem povezovanju ne uporabijo.

Ko še vedno ne uspe, preberite prvo napako

Odjemalec, ki ne more ustvariti vmesnika, to pove v dnevniku, običajno v prvih vrsticah. Odjemalec, ki ga ustvari in nato ne uspe pri preverjanju pristnosti, je že zdavnaj mimo vprašanja naprave, in nadaljnje lovljenje TAP zapravlja sejo.

Ohranite izvirni profil in delujočo konfiguracijo, dokler nadomestilo ni dokazano. Razveljavitev spremembe odjemalca je hitra; ponovna vzpostavitev premostenega omrežja, ki ga je nekdo razstavil na podlagi domneve, pa ne.