VPN-iniz yalnız girişdən sonra işləyir, çünki sirr açar saxlancındadır

Əmr siz daxil olmuş halda işləyir, ona görə onu başlanğıc skriptinə qoyub evə gedirsiniz. Növbəti səhər maşın onlayndır, tunel isə yox. Mif budur ki, işləyən çağırış işləyən xidmət deməkdir. Praktikada fərq adətən iki şeydən biridir: profil sistemə deyil, istifadəçi sessiyanıza aiddir, ya da sirri yalnız siz daxil olduqdan sonra mövcud olan bir şey açır. Hər ikisi əl sınağında mükəmməl işləyir və heç kimin izləmədiyi anda uğursuz olur.

Niyə giriş onu işlək edir

Qrafik giriş sessiya avtobusunu və sirr xidməti agentini başladır, bir çox masaüstü yönümlü müştərinin profilin parolunu və ya şəxsi açarın keçid ifadəsini saxladığı yer məhz burasıdır. Girişdən sonra istifadəçiniz kimi işləyən aktivləşdirmə həmin agentdən sirri istəyə və uğur qazana bilər. Yükləmə zamanı vahidi tərəfindən icra olunan eyni aktivləşdirmənin nə sessiyası, nə avtobusu, nə də agenti var, ona görə axtarış uğursuz olur və ya heç kimin görmədiyi sorğuda bloklanır.

Eyni profili girişdən əvvəl və sonra işə salın və bir konfiqurasiyadan iki fərqli nəticə alırsınız. Bu, pozulmuş tunelin deyil, etimad məlumatından asılılığın əlamətidir və terminalda əl sınağının göründüyündən az sübut etdiyini izah edir. Tunel qaydasındadır; onun sirrini açan şey yoxdur.

Tuneli hansı sahibin başladacağına qərar verin

İki dəstəklənən nümunə var və onları qarışdırmaq bunun uğursuzluğunun digər yoludur. NetworkManager sistem səviyyəli bağlantını aktivləşdirə bilər, bu, maşın şəbəkəsini artıq orada mərkəzləşdirdikdə uyğundur. Alternativ olaraq, ayrılmış systemd vahidi VPN-i birbaşa işlədir və interfeysin özünə sahibdir.

systemctl list-unit-files 'openvpn*'
systemctl list-unit-files 'wg-quick*'
nmcli connection show --active
systemctl enable --now wg-quick@wg0

Hər iki sahibi bir konfiqurasiyaya qarşı işlətməyin. NetworkManager interfeysi idarə edirsə və vahid də onu qaldırırsa, onlar marşrutlar və DNS üzərində dalaşacaq, yaranan vəziyyət isə kimin son bitirdiyindən asılı olacaq.

Sirri xidmətin oxuya biləcəyi yerə qoyun

Fon xidməti sorğuya cavab verə bilməz. Sertifikat keçid ifadələri, hesab parolları və istinad edilən autentifikasiya faylları hamısı vahidin insansız çata bildiyi, xidməti işlədən hesaba məxsus və başqaları üçün oxunmaz saxlama tənzimləməsinə ehtiyac duyur.

Cazibədar qısa yol, icazə xətası yox olana qədər faylı hamının oxuya bildiyi hala gətirməkdir. Bu, başlanğıc uğursuzluğunu uzunmüddətli etimad məlumatı ifşası ilə dəyişir və bu, heç kimin yenidən baxmadığı dəyişiklik növüdür. Yerləşdirmənin artıq etibar etdiyi mexanizmdən istifadə edin: məhdud etimad məlumatı faylı, fayl icazələri ilə qorunan şifrələnməmiş açar və ya öz sirr saxlayıcısı olan sistem səviyyəli bağlantı.

Həqiqətən baş verən hadisəni sınaqdan keçirin

Girişdən sonra xidməti əl ilə başlatmaq demək olar ki, heç nəyi sınaqdan keçirmir. Yenidən yükləyin və ya qrafik girişi bir dövr üçün söndürün və vahidin öz-özünə qalxmasını izləyin. Bu, etimad məlumatının mövcudluğunu, şəbəkə hazırlığını və vahid sırasını birlikdə yoxlayan yeganə sınaqdır. Bu həm də istifadəçinin bildirdiyi uğursuzluğu təkrar istehsal edən sınaqdır, əl ilə başlatma bunu heç vaxt etmir.

systemctl is-enabled wg-quick@wg0
journalctl -u wg-quick@wg0 -b --no-pager
systemctl status systemd-networkd-wait-online --no-pager

Sıra da etimad məlumatı qədər vacibdir. Əsas yuxarı bağlantı konfiqurasiya edilməzdən əvvəl başlayan vahid təslim olacaq və bəzi distributivlər bağlantını gözləyib-gözləməmələrində fərqlənir. Vahid yükləmə zamanı uğursuzluq bildirir, lakin otuz saniyə sonra əl ilə başladıqda uğur qazanırsa, sirr problemi deyil, sıra problemi tapmısınız.

Yalnız interfeysi deyil, marşrutları və DNS-i yoxlayın

Mövcud olan interfeys işləyən tunel deyil. Nəzarətsiz başlatmadan sonra adı yoxlamadan əvvəl marşrutları, həlledici vəziyyətini və ünvanla bir təyinatı yoxlayın. Sonra tunelin mövcud olduğu tətbiqi yoxlayın.

ip -4 route show
resolvectl status
ping -c 3 10.61.0.1
curl -sS --max-time 5 https://internal.example/ -o /dev/null -w '%{http_code}\n'

Ünvan işləyir və ad işləmirsə, qalan problem tunel deyil, DNS siyasətidir. Xidməti hansı sahibin başlatdığını və sirrin harada yaşadığını qeyd edin, çünki bu maşını yenidən yükləyəcək növbəti şəxs hər iki faktı bilməlidir.