Wat eintlik gebeur wanneer jy 'n VPN op Linux begin

Druk verbind en drie dinge verander op 'n Linux-masjien: 'n koppelvlak verskyn, roetes word geïnstalleer, en die resolver begin anders antwoord. Die meeste opstellingsfoute kom daarvan dat een van daardie drie sonder die ander gebeur, of van twee programme wat dit oneens is oor wie hulle besit. Om die volgorde te verstaan verduidelik die fout vinniger as om 'n kliënt se logboek uitvoer te lees.

'n Koppelvlak verskyn voordat enigiets werk

'n Tonnelkliënt maak 'n virtuele koppelvlak oop en gee pakkette daaraan. 'n TUN-toestel dra IP-pakkette, wat is wat 'n geroteerde VPN nodig het; 'n TAP-toestel dra Ethernet-rame, wat is wat 'n oorbrugde ontwerp nodig het. Die kernmodule verskaf die toestel, en die kliënt besit dit so lank as wat die sessie duur.

Die koppelvlak wat opkom is nie dieselfde as die tonnel wat werk nie. Dit kan met 'n adres bestaan terwyl die eweknie onbereikbaar is, en daarom is die koppelvlaklys die eerste kontrole eerder as die laaste. 'n Toestel wat homself as op rapporteer beskryf die kern se siening van 'n virtuele skakel, nie die eweknie se bereidwilligheid om te antwoord nie.

Los die verskafde koppelvlakmodus alleen. Om 'n TUN-profiel na TAP te verander maak nie 'n geroteerde bediener 'n oorbrugde een nie, en dit lewer gewoonlik 'n verbinding wat tot stand kom en niks aanstuur nie.

Roetes word deur die eienaar van die tonnel geïnstalleer

Roetes is die tweede verandering, en hul eienaarskap maak meer saak as hul inhoud. 'n NetworkManager-profiel, 'n systemd-eenheid en 'n handmatig bestuurde kliënt kan almal roetes installeer, en twee van hulle wat dit gelyk doen lewer 'n tabel wat niemand later kan verduidelik nie.

ip -br addr show
ip route show
ip -6 route show

'n Volledige tonnelprofiel vervang die verstekroete; 'n gesplete tonnelprofiel voeg meer spesifieke roetes by en laat die verstek alleen. Albei is normaal, en die tweede is waarom die verwydering van 'n verstekroete 'n swak eerste toets is op 'n masjien wat jy op afstand bestuur. Om dit te verwyder is ook die vinnigste manier om die sessie te verloor wat jy gebruik om die probleem op te los.

Lees die tabel eerder as om aan te neem. 'n Meer spesifieke roete of 'n beleidsreël kan verkeer in die tonnel stuur terwyl die verstekroete steeds na die fisiese koppelvlak wys, wat teenstrydig lyk totdat jy die hele tabel lees. Daardie kombinasie is normaal vir gesplete tonnel en verwarrend vir enigiemand wat verwag dat een reël die ontwerp beskryf. Soek die roete wat by jou werklike bestemming pas, nie die een wat by die diagram pas nie.

Die resolver verander hande

DNS is die derde verandering en die een wat die meeste waarskynlik op 'n plek bestuur word waar jy nie gekyk het nie. Op 'n tafelrekenaar kan NetworkManager resolver-instellings per verbinding stuur. Op 'n stelsel wat systemd-resolved gebruik, word die instellings per skakel toegepas en /etc/resolv.conf kan 'n stomp of 'n simboolskakel wees eerder as 'n lêer wat jy behoort te wysig.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

As 'n handmatige wysiging aan die resolver-lêer ná 'n herverbinding verdwyn, is dit die sein om die komponent te vind wat dit instandhou en eerder die profiel te verander. Om die gegenereerde lêer te wysig is 'n verandering wat 'n herverbinding sal uitwis.

Privaat name benodig gewoonlik die interne resolver en die soekdomeine wat die operateur verskaf het. Om 'n openbare resolver te vervang kan juis die hulpbron breek waarvoor die VPN bestaan, en die simptoom lyk soos 'n roetefout eerder as 'n DNS-fout. Toets die naam en die adres afsonderlik, want een wat werk en die ander wat faal sê jou presies waar om te kyk. Daardie enkele vergelyking spaar 'n uur se roete-ontfouting.

Een bestuurder per verbinding

Die profielformaat bepaal watter program dit kan gebruik. 'n OpenVPN-profiel benodig OpenVPN of 'n versoenbare inprop, en 'n WireGuard-konfigurasie het sy eie formaat met eweknie-sleutels en toegelate voorvoegsels. 'n Invoerdialoog vertaal nie een in die ander nie, wat die lêeruitbreiding ook al aandui.

Kies een bestuurder en laat dit die verbinding besit. Om dieselfde tonnel deur twee gereedskap op te bring maak die roetetabel en die herverbindingsgedrag dubbelsinnig, en die tweede een wat begin wen gewoonlik op maniere wat moeilik is om te reproduseer.

Installeer die pakkette wat jou verspreiding ondersteun en verkry die profiel van die operateur. Behandel dit as 'n geloofsbrief, want dit bevat gewoonlik 'n private sleutel of ekwivalente materiaal, en stoor dit waar die res van jou geheime woon. 'n Profiel wat in 'n aflaai-gids gelaat word is 'n sleutel wat op 'n lessenaar gelaat word.

Wat om te kontroleer wanneer dit op is maar nie werk nie

Met die koppelvlak op en die kliënt wat sukses rapporteer, werk na buite: kies die roetetabel die tonnel vir die bestemming, antwoord die resolver vir die privaat naam, en het die ander kant 'n terugpad. Elkeen het 'n aparte opdrag en 'n aparte eienaar.

nmcli connection show --active
nmcli device status
wg show

Die nmcli-verwysing dokumenteer die status- en verbindingsopdragte as jy die volledige stel nodig het. Wat hier saak maak is die onderskeid tussen 'n profiel wat aktief is en 'n toestel wat verkeer dra, want die twee kan verskil.

Verbind een keer weer deur dieselfde bestuurder voordat jy die opstelling as klaar beskou, en kontroleer dat DNS nog ná 'n ontkoppeling werk. 'n Konfigurasie wat net werk tot die eerste netwerkverandering is nie klaar nie, dit werk net op die oomblik.