macOS'ta OpenVPN TAP: hata ayıklamadan önce istemciyi kontrol edin

Eski bir profil güncel bir Mac'e iner, istemci onu hiçbir itiraz olmadan içe aktarır ve bağlantı düşer ya da trafik hiç geçmez. Sertifikalara bütün bir öğleden sonra harcamadan önce profildeki aygıt satırını okuyun. Orada dev tap yazıyorsa istemciden Ethernet tarzı bir arayüz istiyorsunuz demektir ve macOS'ta bu oturumların çoğu tam olarak bu istekte biter.

Adım 1: profilin gerçekten TAP istediğini doğrulayın

Profiller yeniden adlandırılır, paketlenir ve yeniden dışa aktarılır, bu yüzden gerçekten içe aktardığınız dosyayı kontrol edin. Aygıt yönergesini ve onu geçersiz kılabilecek her include'u arayın. Çoğu durumda iki satır çıktı soruyu çözer. Hem dev hem de dev-type göründüğünde sonraki yönerge kazanır ve kopyalanmış bir profilin sakladığı tam da böyle bir ayrıntıdır.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Dosyada dev tap veya dev tap0 varsa istemci bir TAP arayüzü uygulamalıdır. dev tun varsa bu makalenin geri kalanı geçerli değildir ve arıza başka yerdedir.

İstemcinin adını ve sürümünü, macOS sürümünü ve profilin nereden geldiğini not edin. Bu üç gerçek, aşağıdaki iki yoldan hangisinin mümkün olduğunu belirler.

Adım 2: aygıt modunun gerçekte neyi değiştirdiğini bilin

Bir TUN arayüzü IP paketlerini taşır. İstemci bir IP eşine adreslenmiş paketleri okuyup yazar ve işletim sistemi bunları diğer arayüzler gibi yönlendirir.

Bir TAP arayüzü Ethernet çerçevelerini, yayın ve ARP dahil taşır. Köprülü bir sunucunun DHCP ile adres dağıtmasını ve istemcinin bağırarak aygıt keşfetmesini sağlayan budur, bu yüzden bazı eski tasarımlar buna dayanır.

Bedeli, TAP'in sisteme Ethernet arayüzü sunan bir sürücüye ihtiyaç duymasıdır. Apple, eski Mac TAP sürücülerinin dayandığı çekirdek uzantısı modelini kaldırdı ve yerine geçen API, onu kullanmak için hiç güncellenmemiş istemcilerde sihirli biçimde ortaya çıkmıyor. Platform yeteneği ile sevk edilmiş ürün farklı şeylerdir.

Adım 3: uyumlu bir istemci ile geçiş arasında seçim yapın

İki dürüst yol var. Birincisi, yayıncısının sizin macOS sürümünüz ve donanımınız için gereken TAP düzenini desteklediğini bildirdiği bir istemci. Dört yıl önceki bir forum gönderisi değil ve arşivlenmiş bir yükleyici de değil: güncel bir bildiri artı bir test bağlantısı.

İkincisi hizmeti TUN'a taşımak; bu, istemci değişikliği kadar sunucu değişikliğidir. Yönlendirilmiş bir topoloji, bir adres havuzu, uzak ağlar için itilen rotalar ve o ağlardan havuza dönüş yolu gerekir.

Çalışmayan şey, yerel kopyanızda tap değerini tun yapıp ummaktır. Sunucu hâlâ köprü kuruyor, istemci artık IP konuşuyor ve hiçbir şey uyuşmuyor.

Adım 4: çalışan bir hizmeti değiştirmeden önce olguları toplayın

Orijinal profile dokunmayın ve denemeler için bir kopya alın. Bir dakikada geri yükleyebildiğiniz dosya düzenli bir klasörden daha değerlidir. Yedek çalışmaya başlayınca kopyayı bilerek silin, listede aynı görünen iki profil bırakmayın. Bu tek alışkanlık başarısız geçişten sonraki karışıklığın çoğunu önler. Mevcut davranışı kaydedin ki neyin değiştiğini kanıtlayabilesiniz: tünel kalkıyor mu, adres alıyor mu, bilinen bir ana makineye ulaşıyor musunuz ve ad çözümlemesi çalışıyor mu.

Ağ geçidinin sahibine üç soru sorun. Sunucu köprülü mü yönlendirilmiş mi topolojide çalışıyor? Hangi uzak önekler erişilebilir olmalı? Ve yapılandırma değişikliği için bakım penceresi var mı, yoksa sunucuya dokunmadan çalışması mı bekleniyor?

Bunların yanıtları, bu öğleden sonra bir istemci sorununu mu çözdüğünüzü yoksa gelecek hafta bir ağ değişikliği mi planladığınızı belirler.

Adım 5: geçişi iki uçtan doğrulayın

Sunucunun yönlendirilmiş yapılandırması ve sizde uygun profil olduğunda şu sırayla test edin: tünel kurulur, istemci yeni havuzdan adres alır, uzak taraftaki ana makine yanıt verir ve itilen DNS ayarıyla bir ad çözülür.

Sonra eskiden Ethernet davranışına bağlı olanı test edin. Bir uygulama aygıtları yayınla keşfediyorsa, yönlendirilmiş tünel üzerinden onları bulamaz ve hiçbir istemci yapılandırması bunu geri getirmez. O uygulamanın bilinen bir adrese, yerel bir yardımcı ana makineye veya farklı bir keşif yöntemine ihtiyacı vardır.

Bir kez yeniden bağlanıp bir kez yeniden başlatarak bitirin, çünkü yalnızca ilk denemede çalışan bir profil genellikle itilen rotaların veya DNS ayarının yeniden bağlanmada uygulanmadığını gösterir.

Hâlâ başarısız olursa ilk hatayı okuyun

Arayüzü oluşturamayan istemci bunu günlüğünde, genellikle ilk birkaç satırda söyler. Oluşturup sonra kimlik doğrulamada başarısız olan istemci aygıt sorusunu çoktan geçmiştir ve TAP peşinde koşmaya devam etmek oturumu boşa harcar.

Yedek kanıtlanana kadar orijinal profili ve çalışan yapılandırmayı saklayın. İstemci değişikliğini geri almak hızlıdır; birinin tahminle söktüğü köprülü ağı yeniden kurmak öyle değildir.