dev tun у Windows досі показує адаптер TAP. Це неправильно?
Адаптер TAP-Windows під профілем dev tun є нормальним. Драйвер рівня 3 є необов'язковим перемикачем, і те, який із них працював, показує журнал клієнта, а не назва адаптера.
Диспетчер пристроїв показує TAP-Windows Adapter V9, хоча профіль каже dev tun, і тунель працює. Таке поєднання не є помилковою конфігурацією, і перемикання режиму туди-назад його не змінить. Назва адаптера відображає, який драйвер Windows завантажив клієнт, а не те, які пакети несе тунель. Прочитайте рядок драйвера в журналі клієнта, перш ніж щось змінювати.
Чому тунель рівня 3 отримує адаптер Ethernet
Протягом більшої частини історії клієнта в Windows не було жодного придатного віртуального адаптера рівня 3. Єдиним варіантом був драйвер TAP-Windows, який надає інтерфейс Ethernet. Далі клієнт емулював відсутню поведінку рівня 2, щоб Windows міг його налаштувати. Саме через цю емуляцію адаптер досі виглядає як мережева карта.
Дві частини цієї емуляції видно, якщо придивитися: клієнт відповідає на ARP для адреси тунелю і видає локальній машині невелику оренду DHCP. Тому Windows бачить звичайний адаптер Ethernet з MAC-адресою та драйвером NDIS, тоді як сам тунель несе голі пакети IP. Костюм Ethernet належить драйверу, а не режиму тунелю.
Знайдіть рядок драйвера, а не судіть за назвою
Два адаптери можуть ділити назву між версіями драйвера, тому сама назва не може сказати, що працювало. Журнал клієнта називає пристрій, який він відкрив, а в новіших збірках ще й драйвер, який він вибрав; саме цей рядок треба читати.
Перевірте в журналі три речі в такому порядку: чи відкрив клієнт взагалі адаптер, який драйвер він повідомляє і чи відкотився він після збою. Рядок відкату легко пропустити, бо з'єднання все одно піднімається, і тунель працює на старому драйвері, поки користувач вважає, що активний новий.
Перейдіть на драйвер рівня 3 і перевірте, що має бути присутнім
Драйвер рівня 3, який постачає проєкт WireGuard, доступний починаючи з версії клієнта 2.5, але він необов'язковий. Його вибирає одна директива:
windows-driver wintunДрайвер має бути встановлений на машині, і офіційні збірки містять підписану копію. Постачайте саме підписаний випуск, якщо збираєте клієнт самостійно, бо драйвер, зібраний приватно, конфліктує з копіями, які встановлюють інші VPN-продукти. Такі конфлікти дають збої, які важко віднести до причини, і зазвичай вони з'являються після того, як на машині з'являється другий VPN-клієнт. Відсутній драйвер, навпаки, залишає в журналі чіткий рядок.
Драйвер також вимагає суворіших дозволів, тому клієнт створює адаптер через свою інтерактивну службу, що працює від привілейованого облікового запису. Запустіть клієнт звичайним користувацьким процесом без цієї служби, і директива може не спрацювати, залишивши раніше встановлений адаптер видимим, і здаватиметься, що перемикання проігноровано.
Коли TAP залишається правильною відповіддю
Якщо тунель має нести кадри Ethernet, широкомовний трафік або протоколи, відмінні від IP, потрібен адаптер рівня 2, і драйвер TAP випливає з цієї вимоги. Мостова схема в Windows має те саме обмеження, оскільки інтерфейс має увійти до домену рівня 2.
Продуктивність не є причиною віддавати перевагу одному над іншим на рівні назви адаптера. Версія 2.6 додає драйвер розвантаження каналу даних, який переносить обробку пакетів у ядро, і саме цей варіант змінює характеристики пропускної здатності. Це рішення про можливості, а не вимога для підключення, і воно залежить від збірки та встановленого пакета. Профіль, який працює без нього, продовжує працювати.
| What the tunnel must carry | Adapter family | Where it is selected |
|---|---|---|
| IPv4 and IPv6 packets | Layer-3 driver, or the older TAP emulation | Client directive plus installed signed driver |
| Ethernet frames, non-IP protocols | TAP-Windows | Profile mode and the TAP driver package |
| Higher throughput on a supported build | Data-channel offload driver | Client build and driver package, separately from the profile |
Приберіть після перемикання
Видалити старий адаптер так само важливо, як додати новий. Залишковий інтерфейс TAP може зберегти адресу та маршрут із попереднього сеансу, і ці записи живуть довше за з'єднання, яке їх створило. Видаліть застарілий пристрій у Диспетчері пристроїв, потім підключіться знову і переконайтеся, що таблиця маршрутизації його більше не згадує.
Якщо встановлено кілька VPN-продуктів, запишіть, який пакет драйверів приносить кожен, перш ніж налагоджувати профіль. Два клієнти, які встановлюють різні збірки одного драйвера, — це конфлікт, який не вирішить жодне редагування профілю. Видаліть невикористовуваний клієнт і перезавантажтеся, потім пошукайте дубльовані адаптери в Диспетчері пристроїв. Лише після цього варто порівнювати рядки журналу між двома продуктами.