Linux-da VPN-i işə salanda əslində nə baş verir

Qoşul düyməsini basın və Linux maşınında üç şey dəyişir: interfeys yaranır, marşrutlar quraşdırılır və həlledici fərqli cavab verməyə başlayır. Quraşdırma xətalarının çoxu bu üçündən birinin digərləri olmadan baş verməsindən və ya iki proqramın onların kimə aid olduğu barədə razılaşmamasından qaynaqlanır. Ardıcıllığı anlamaq nasazlığı müştərinin jurnal çıxışını oxumaqdan daha sürətli izah edir.

Hər şey işləməzdən əvvəl interfeys yaranır

Tunel müştərisi virtual interfeys açır və paketləri ona verir. TUN cihazı IP paketlərini daşıyır, yönləndirilmiş VPN-ə lazım olan da budur; TAP cihazı Ethernet kadrlarını daşıyır, körpülənmiş dizayna lazım olan da budur. Nüvə modulu cihazı təmin edir və müştəri sessiya davam etdiyi müddətcə onun sahibidir.

Interfeysin qalxması tunelin işləməsi ilə eyni deyil. O, ünvanla birlikdə mövcud ola bilər, halbuki həmkar əlçatmazdır, buna görə interfeys siyahısı sonuncu deyil, ilk yoxlamadır. Özünü qalxmış kimi bildirən cihaz nüvənin virtual əlaqəyə baxışını təsvir edir, həmkarın cavab vermək istəyini deyil.

Verilən interfeys rejimini olduğu kimi buraxın. TUN profilini TAP-a çevirmək yönləndirilmiş serveri körpülənmiş serverə çevirmir və adətən qurulan, amma heç nə ötürməyən bir bağlantı yaradır.

Marşrutları tunelin sahibi quraşdırır

Marşrutlar ikinci dəyişiklikdir və onların sahibliyi məzmunundan daha önəmlidir. NetworkManager profili, systemd unit-i və əl ilə idarə olunan müştəri hamısı marşrut quraşdıra bilər və ikisinin bunu eyni vaxtda etməsi sonradan heç kimin izah edə bilməyəcəyi cədvəl yaradır.

ip -br addr show
ip route show
ip -6 route show

Tam tunel profili standart marşrutu əvəz edir; bölünmüş tunel profili daha dəqiq marşrutlar əlavə edir və standartı olduğu kimi buraxır. Hər ikisi normaldır və ikincisi uzaqdan idarə etdiyiniz maşında standart marşrutu silməyin niyə zəif ilk sınaq olduğunu izah edir. Onu silmək problemi həll etmək üçün istifadə etdiyiniz sessiyanı itirməyin də ən sürətli yoludur.

Fərz etmək əvəzinə cədvəli oxuyun. Daha dəqiq marşrut və ya siyasət qaydası trafiki tunelə yönəldə bilər, halbuki standart marşrut hələ də fiziki interfeysə işarə edir, bu isə bütün cədvəli oxuyana qədər ziddiyyətli görünür. Bu birləşmə bölünmüş tunel üçün normaldır və dizaynı bir sətirlə təsvir etməyi gözləyən hər kəs üçün çaşdırıcıdır. Faktiki təyinatınıza uyğun gələn marşrutu axtarın, diaqrama uyğun gələni deyil.

Həlledici əl dəyişir

DNS üçüncü dəyişiklikdir və baxmadığınız bir yerdə idarə olunma ehtimalı ən yüksək olan dəyişiklikdir. Masaüstündə NetworkManager həlledici parametrlərini hər bağlantı üzrə ötürə bilər. systemd-resolved istifadə edən sistemdə parametrlər hər əlaqə üzrə tətbiq olunur və /etc/resolv.conf redaktə etməyiniz lazım olan fayl deyil, stub və ya simvolik keçid ola bilər.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Həlledici faylına əl ilə edilən düzəliş yenidən qoşulmadan sonra yox olursa, bu onu saxlayan komponenti tapmaq və əvəzində profili dəyişmək üçün siqnaldır. Yaradılmış faylı redaktə etmək yenidən qoşulmanın siləcəyi dəyişiklikdir.

Şəxsi adlar adətən daxili həllediciyə və operatorun verdiyi axtarış domenlərinə ehtiyac duyur. İctimai həlledici ilə əvəz etmək VPN-in mövcud olma səbəbi olan resursun özünü poza bilər və simptom DNS nasazlığı deyil, marşrut nasazlığı kimi görünür. Adı və ünvanı ayrı-ayrı yoxlayın, çünki birinin işləməsi, digərinin uğursuzluğu haraya baxmalı olduğunuzu dəqiq göstərir. Bu tək müqayisə bir saatlıq marşrut sazlamağına qənaət edir.

Hər bağlantı üçün bir menecer

Profil formatı hansı proqramın ondan istifadə edə biləcəyini müəyyən edir. OpenVPN profili OpenVPN və ya uyğun plagin tələb edir, WireGuard konfiqurasiyasının isə həmkar açarları və icazə verilən prefikslərlə öz formatı var. İdxal dialoqu fayl uzantısı nə deyirsə desin, birini digərinə çevirmir.

Bir menecer seçin və bağlantının sahibi o olsun. Eyni tuneli iki alət vasitəsilə qaldırmaq marşrut cədvəlini və yenidən qoşulma davranışını qeyri-müəyyən edir və başlayan ikinci adətən təkrar istehsal etməsi çətin yollarla qalib gəlir.

Distributivinizin dəstəklədiyi paketləri quraşdırın və profili operatordan alın. Ona etimadnamə kimi yanaşın, çünki adətən şəxsi açar və ya ekvivalent material ehtiva edir və qalan sirlərinizin yaşadığı yerdə saxlayın. Yükləmələr qovluğunda qalan profil masada qalan açardır.

Qalxdığı, amma işləmədiyi zaman nəyi yoxlamaq lazımdır

Interfeys qalxmış və müştəri uğur bildirəndə bayıra doğru işləyin: marşrut cədvəli təyinat üçün tuneli seçirmi, həlledici şəxsi ad üçün cavab verirmi və qarşı tərəfin qayıdış yolu varmı. Hər birinin ayrı əmri və ayrı sahibi var.

nmcli connection show --active
nmcli device status
wg show

nmcli istinadı tam dəsti lazım olsa, status və bağlantı əmrlərini sənədləşdirir. Burada vacib olan profilin aktiv olması ilə cihazın trafik daşıması arasındakı fərqdir, çünki ikisi ziddiyyət təşkil edə bilər.

Quraşdırmanı bitmiş hesab etməzdən əvvəl eyni menecer vasitəsilə bir dəfə yenidən qoşulun və DNS-in bağlantı kəsiləndən sonra da işlədiyini yoxlayın. Yalnız ilk şəbəkə dəyişikliyinə qədər işləyən konfiqurasiya bitmiş deyil, sadəcə hazırda işləyir.