В этой статье мы перенесем разработанный инструмент на macOS. Логика работы с трафиком в userspace сохраняется, но интеграция с системой требует иных решений. Разберем особенности создания utun-интерфейсов, настройки маршрутизации через ifscope и использования pf для NAT. По итогу запустим цепочку tun0 -> go app -> tun1 -> inet на новой платформе.

Принципиальных изменений в коде нет, но туннели создаются и настраиваются иначе. В Linux-варианте я открывал туннель без сторонних библиотек, здесь же разбираться не стал и использовал библиотеку water (пока не важно, потом нужно сделать единообразно). Программа завелась без проблем, а вот с маршрутизацией пришлось повозиться.

Для начала нужно включить форвардинг пакетов (для этапа tun1 -> inet):

sysctl -w net.inet.ip.forwarding=1

Когда туннели поднимаются, в таблице маршрутизации появляются две записи:

netstat -nr -f inet

Routing tables

Internet:
Destination        Gateway            Flags               Netif Expire
...
10.0.0.1           10.0.0.2           UHr                utun10
10.0.1.1           10.0.1.2           UHr                utun11
...

Привязать пинг к конкретному интерфейсу нельзя. Можно указать источник через -S, это не совсем то, но допустим:

ping -S 10.0.0.2 8.8.8.8

Система отказывается отправлять пакеты в нужный интерфейс, если по таблице маршрутизации они попадают в другой (en0). До туннеля пакеты не доходят, программа их не видит.

PING 8.8.8.8 (8.8.8.8) from 10.0.0.2: 56 data bytes
ping: sendto: No route to host
ping: sendto: No route to host

Проблема решается указанием маршрута по умолчанию для конкретного интерфейса:

route add -ifscope utun10 default 10.0.0.1

Routing tables

Internet:
Destination        Gateway            Flags               Netif Expire
default            192.168.1.1        UGScg                 en0
default            10.0.0.1           UGScIg             utun10
default            10.0.1.1           UGScIg             utun11
10.0.0.1           10.0.0.2           UHr                utun10
10.0.1.1           10.0.1.2           UHr                utun11

Осталось включить системный NAT для форвардинга utun11 -> en0.

echo "nat on en0 from 10.0.1.1/32 to any -> (en0)" | sudo pfctl -Ef -

После этого всё заработало:

PING 8.8.8.8 (8.8.8.8) from 10.0.0.2: 56 data bytes
64 bytes from 8.8.8.8: icmp_seq=0 ttl=105 time=49.326 ms
64 bytes from 8.8.8.8: icmp_seq=1 ttl=105 time=51.521 ms

tcpdump -k -i any -n icmp

19:00:37.914822 IP 10.0.0.2 > 8.8.8.8: ICMP echo request
19:00:37.914995 IP 10.0.1.1 > 8.8.8.8: ICMP echo request
19:00:37.915062 IP 192.168.1.137 > 8.8.8.8: ICMP echo request
19:00:37.968373 IP 8.8.8.8 > 192.168.1.137: ICMP echo reply
19:00:37.968483 IP 8.8.8.8 > 10.0.1.1: ICMP echo reply
19:00:37.968774 IP 8.8.8.8 > 10.0.0.2: ICMP echo reply

Может показаться, что изменений немного - просто запустил код на другой ОС. Однако отладка на стыке программы и системных настроек неудобна: ошибок нет, но ничего не работает. Зато теперь у меня есть всё необходимое, чтобы получать и отправлять пакеты из системы. Теперь можно пробовать прокидывать реальный трафик между двумя машинами.

Ссылка на github.