macOS'da OpenVPN TAP: nosozliklarni tuzatishdan oldin mijozni tekshiring

Eski profil zamonaviy Mac'ga tushadi, mijoz uni hech qanday e'tirozsiz import qiladi, ulanish uziladi yoki trafik umuman o'tmaydi. Sertifikatlarga butun tushdan keyin sarflashdan oldin profildagi qurilma satrini o'qing. Agar u yerda dev tap yozilgan bo'lsa, siz mijozdan Ethernet uslubidagi interfeys so'rayapsiz, macOS'da bunday sessiyalarning aksariyati aynan shu so'rovda tugaydi.

1-qadam: profil haqiqatan TAP so'rayotganini tasdiqlang

Profillar qayta nomlanadi, o'raladi va qayta eksport qilinadi, shuning uchun haqiqatan import qilgan faylni tekshiring. Qurilma direktivasini va uni bekor qilishi mumkin bo'lgan har qanday include'ni qidiring. Ko'p hollarda chiqishning ikki satri savolni hal qiladi. Ham dev, ham dev-type uchrassa, keyingi direktiva g'olib bo'ladi, va nusxalangan profil aynan shunday tafsilotni yashiradi.

grep -nE "^[[:space:]]*(dev|dev-type)[[:space:]]" client.ovpn
ls -l ~/Library/Application\ Support/ 2>/dev/null

Agar faylda dev tap yoki dev tap0 bo'lsa, mijoz TAP interfeysini amalga oshirishi kerak. Agar unda dev tun bo'lsa, maqolaning qolgan qismi qo'llanilmaydi va nosozlik boshqa joyda.

Mijozning nomi va versiyasini, macOS versiyasini va profil qayerdan kelganini yozib oling. Bu uch fakt quyidagi ikki yo'ldan qaysi biri umuman mumkinligini belgilaydi.

2-qadam: qurilma rejimi aslida nimani o'zgartirishini biling

TUN interfeysi IP paketlarini tashiydi. Mijoz IP sherigiga yo'naltirilgan paketlarni o'qiydi va yozadi, operatsion tizim ularni boshqa har qanday interfeys kabi marshrutlaydi.

TAP interfeysi Ethernet freymlarini, jumladan broadcast va ARP'ni ham tashiydi. Aynan shu ko'prikli serverga DHCP orqali manzillar tarqatishga va mijozga qichqirib qurilmalarni topishga imkon beradi, shuning uchun ba'zi eski loyihalar unga tayanadi.

Narxi shundaki, TAP tizimga Ethernet interfeysini taqdim etadigan drayverga muhtoj. Apple eski Mac TAP drayverlari tayangan yadro kengaytmasi modelini to'xtatdi va uning o'rnini bosuvchi API undan foydalanish uchun hech qachon yangilanmagan mijozlarda sehrli tarzda paydo bo'lmaydi. Platforma qobiliyati va yetkazilgan mahsulot ikki xil narsa.

3-qadam: mos mijoz va migratsiya o'rtasida tanlang

Ikkita halol yo'l bor. Birinchisi, noshirning sizning macOS versiyangiz va apparatingiz uchun kerakli TAP tartibini qo'llab-quvvatlashini e'lon qilgan mijoz. To'rt yil oldingi forum posti emas va arxivlangan o'rnatuvchi ham emas: joriy bayonot va sinov ulanishi.

Ikkinchisi xizmatni TUN'ga ko'chirish, bu mijoz o'zgarishi kabi server o'zgarishi ham. Buning uchun marshrutlangan topologiya, manzillar havzasi, uzoq tarmoqlar uchun itarilgan marshrutlar va o'sha tarmoqlardan havzaga qaytish yo'li kerak.

Ishlamaydigan narsa mahalliy nusxada tap ni tun ga o'zgartirib umid qilishdir. Server hali ham ko'prik qurmoqda, mijoz endi IP gapiradi va hech narsa mos kelmaydi.

4-qadam: ishlab turgan xizmatni o'zgartirishdan oldin faktlarni to'plang

Asl profilni tegmasdan qoldiring va tajribalar uchun nusxa oling. Bir daqiqada tiklay oladigan fayl tartibli papkadan qimmatroq. O'rinbosar ishlagach, ro'yxatda bir xil ko'rinadigan ikkita profil qoldirish o'rniga nusxani ataylab o'chiring. Aynan shu bir odat muvaffaqiyatsiz migratsiyadan keyingi chalkashlikning ko'p qismini oldini oladi. Joriy xatti-harakatni yozib oling, nima o'zgarganini isbotlash uchun: tunnel ko'tariladimi, manzil oladimi, bitta taniqli hostga yetasizmi va nom hal qilish ishlaydimi.

Darvoza egasiga uchta savol bering. Server ko'prikli yoki marshrutlangan topologiyada ishlayaptimi? Qaysi uzoq prefikslar yetib borish kerak? Va konfiguratsiyani o'zgartirish uchun texnik xizmat oynasi bormi, yoki serverga tegmasdan ishlashi kutilmoqda?

Bu savollarga javoblar bugun tushdan keyin mijoz muammosini hal qilayotganingizni yoki keyingi hafta tarmoq o'zgarishini rejalashtirayotganingizni belgilaydi.

5-qadam: migratsiyani ikki tomondan tekshiring

Serverda marshrutlangan konfiguratsiya va sizda mos profil bo'lgach, shu tartibda sinab ko'ring: tunnel o'rnatiladi, mijoz yangi havzadan manzil oladi, uzoq tomondagi host javob beradi va itarilgan DNS sozlamasi orqali nom hal qilinadi.

Keyin ilgari Ethernet xatti-harakatiga bog'liq bo'lgan narsani sinab ko'ring. Agar ilova qurilmalarni broadcast orqali topgan bo'lsa, marshrutlangan tunnel orqali ularni topa olmaydi va hech qanday mijoz konfiguratsiyasi buni qaytarmaydi. O'sha ilovaga taniqli manzil, mahalliy yordamchi host yoki boshqa topish usuli kerak.

Bir marta qayta ulanib, bir marta qayta yuklash bilan tugating, chunki faqat birinchi urinishda ishlaydigan profil odatda itarilgan marshrutlar yoki DNS sozlamasi qayta ulanishda qo'llanilmasligini bildiradi.

Agar baribir muvaffaqiyatsiz bo'lsa, birinchi xatoni o'qing

Interfeysni yarata olmagan mijoz buni jurnalida, odatda birinchi satrlarda aytadi. Uni yaratib, keyin autentifikatsiyadan o'ta olmagan mijoz qurilma savolidan ancha o'tib ketgan, TAP orqasidan quvish esa sessiyani behuda sarflaydi.

O'rinbosar isbotlanmaguncha asl profil va ishlaydigan konfiguratsiyani saqlang. Mijoz o'zgarishini qaytarish tez; kimdir taxmin bilan buzgan ko'prikli tarmoqni qayta qurish unday emas.