Ubuntu-da açılışda OpenVPN: NetworkManager yoxsa systemd?

Əksər təlimatlar bu seçimi kosmetik kimi təqdim edir: ya NetworkManager tuneli qaldırsın, ya da systemd nüsxəsini aktivləşdirib bitirin. İki yol ekransız bir qutuda nəticəni həll edən bir şeylə fərqlənir və bunun hansı alətin daha yeni olması ilə heç bir əlaqəsi yoxdur. NetworkManager sirləri sessiya vasitəsilə açır; systemd nüsxəsinin açacaq sessiyası yoxdur. Sirr idarəsi qarşınızdakı maşına uyğun olanı seçin.

Qalan hər şey, marşrut quraşdırmasından yenidən qoşulma davranışına qədər, ilk qərardan irəli gəlir.

Açar halqası heç kimin qeyd etmədiyi fərqdir

NetworkManager VPN profilinə sahib olduqda, parol istifadəçi daxil olduqda açılan giriş açar halqasında yaşaya bilər. Bu noutbukda yaxşı işləyir: şəxs yerindədir, açar halqası açılır, tunel qalxır. Nəzarətsiz açılan serverdə isə heç nəyi açacaq heç kim yoxdur, buna görə profil heç vaxt gəlməyən bir sirri gözləyir. Bağlantı konfiqurasiya edilmiş görünür və heç vaxt aktivləşmir.

systemd nüsxəsi diskdən etimad faylı oxuyaraq bu problemdən yayınır, bu da faylı qoruduğunuz şeyə çevirir. chmod 400 üstəgəl root sahibliyi minimumdur və fayl nəzarət etmədiyiniz ehtiyat nüsxələrdən və obraz şablonlarından kənarda qalmalıdır.

VPN-i bağlantıya bağlamaq açılış zəmanəti deyil

nm-connection-editor proqramında VPN yerinə simli və ya simsiz bağlantını seçin, General nişanını açın, avtomatik VPN-ə qoşulma seçimini işarələyin və profilin adını yazın. Sonra NetworkManager əsas bağlantı qoşulmuş vəziyyətə çatdıqda VPN-i ikinci dərəcəli bağlantı kimi aktivləşdirir. Bu asılılıqdır, firewall qaydası deyil. Tunel qalxmazdan əvvəlki saniyələrdə paketlər hələ də çıxa bilər və açılmayan saxlanmış sirr maşını onsuz onlayn qoyur.

Tələb tunelsiz heç nəyin çıxmamasıdırsa, bunu deyin və öldürmə açarı qurun, çünki bu parametr onu təmin etməyəcək. Askıya alma və davam etdirməni də sınayın, çünki ikinci dərəcəli bağlantı geri qayıdarkən yenidən qiymətləndirilir.

systemd nüsxəsi uyğun fayl adı tələb edir

Profili paketin gözlədiyi müştəri qovluğuna qoyun, məsələn /etc/openvpn/client/office.conf, və içəridən etimad faylına auth-user-pass office.cred ilə istinad edin. Nüsxə adı şəkilçisiz fayl adıdır, buna görə openvpn-client@office faylı office.conf oxuyur. Onu sudo systemctl enable --now openvpn-client@office ilə aktivləşdirin və uyğunluğu bloqdakı nümunəyə güvənmək əvəzinə systemctl cat openvpn-client@office ilə təsdiqləyin.

Profilin içindəki yollar profilə deyil, vahidin iş qovluğuna görə həll olunur, buna görə nisbi ca və ya auth-user-pass sətri əllə sınayarkən işlədiyi halda açılışda uğursuz ola bilər. Vahidin tapmalı olduğu hər şey üçün mütləq yollar istifadə edin. Sonra real açılışdan sonra journalctl -u openvpn-client@office -b oxuyun; tunelsiz aktiv olduğunu bildirən vahid adətən həmin jurnalda itkin faylın adını çəkir.

Köhnə paketlər fərqli şablon adı gətirir, buna görə systemctl list-unit-files 'openvpn*' bu hostda hansının mövcud olduğunu həll edir.

Yenidən qoşulma davranışı ayrı qərardır

ping-restart olan profil düşdükdən sonra tuneli yenidən qurur, yenidən başlatma direktivi olan vahid isə xidmət səviyyəsində oxşar şey edir. Bunlar sizin seçdiyiniz siyasətlərdir, miras aldığınız defoltlar deyil. Bağlantı yalnız tələb əsasında qalxmalıdırsa, yenidən başlatma davranışını qəsdən silin və səbəbini yazın. Vahid şəbəkə istifadəyə yararlı olmadan əvvəl başlayırsa, ona yenidən cəhd siyasəti lazımdır, çünki açılışda bir uğursuz cəhd öz-özünə təkrarlanmır.

Dayandırma da eyni dərəcədə hərfidir: sudo systemctl disable --now openvpn-client@office işləyən nüsxəni dayandırır və açılış keçidini silir. Yalnız deaktiv etmək tuneli növbəti yenidən başladana qədər işlək saxlayır, bu da deaktiv edib interfeysin qalxmasını izləyən hər kəsi təəccübləndirir.

Yenidən başladın, sonra dörd şeyi sıra ilə yoxlayın

Xidməti yenidən başlatmaq xidməti sınayır; maşını yenidən başlatmaq açılış yolunu sınayır. Yenidən başlatmadan sonra vahidin qalxdığını, sonra uzaq alt şəbəkə üçün marşrutun olduğunu, sonra maşının internetə hansı ünvanı təqdim etdiyini və nəhayət adların tunel vasitəsilə həll olunduğunu təsdiqləyin. Nəsə səhv olduqda bu dörd yoxlama həmin sıra ilə uğursuz olur, bu da ilk uğursuzluğu faydalı edir.

Marşrutsuz aktiv vahid adətən profilin qoşulduğunu, lakin serverin heç bir marşrut göndərmədiyini, ya da marşrutun sonradan yoxa çıxan interfeysə quraşdırıldığını bildirir. İşlək ad axtarışı olmayan marşrut tunelin özünə deyil, DNS konfiqurasiyasına işarə edir.

Tunel qalxa bilməyəndə nə olacağına əvvəlcədən qərar verin. Adi bağlantıya geri düşmək bir siyasətdir və ilk başlayan menecerə buraxılmaq əvəzinə yazılmalıdır.