OpenVPN wrth gychwyn ar Ubuntu: NetworkManager neu systemd?

Mae’r rhan fwyaf o ganllawiau’n cyflwyno’r dewis fel un cosmetig: naill ai gadewch i NetworkManager godi’r tiwnel, neu alluogi enghraifft systemd a gorffen. Mae’r ddau lwybr yn wahanol mewn un peth sy’n penderfynu’r canlyniad ar flwch heb sgrin, ac nid oes ganddo ddim i’w wneud â pha declyn sy’n newyddach. Mae NetworkManager yn datgloi cyfrinachau drwy sesiwn; nid oes gan enghraifft systemd sesiwn i’w datgloi. Dewiswch yr un y mae ei thrin cyfrinachau’n cyd-fynd â’r peiriant o’ch blaen.

Mae popeth arall, o osod llwybrau i ymddygiad ailgysylltu, yn dilyn o’r penderfyniad cyntaf hwnnw.

Y cylch allweddi yw’r gwahaniaeth nad oes neb yn sôn amdano

Pan fo NetworkManager yn berchen ar broffil VPN, gall y cyfrinair fyw yn y cylch allweddi mewngofnodi, sy’n cael ei ddatgloi pan fydd defnyddiwr yn mewngofnodi. Mae hynny’n gweithio’n dda ar liniadur: mae’r person yn bresennol, mae’r cylch allweddi’n agor, mae’r tiwnel yn codi. Ar weinydd sy’n cychwyn heb oruchwyliaeth nid oes neb i ddatgloi unrhyw beth, felly mae’r proffil yn aros am gyfrinach nad yw byth yn dod. Mae’r cysylltiad yn edrych wedi’i ffurfweddu ac yn byth yn actifadu.

Mae enghraifft systemd yn osgoi’r broblem honno drwy ddarllen ffeil ddogfennau o’r disg, sy’n gwneud y ffeil yn beth rydych chi’n ei warchod. chmod 400 ynghyd â pherchnogaeth gan root yw’r lleiafswm, a dylai’r ffeil aros allan o gopïau wrth gefn a thempledi delwedd nad ydych yn eu rheoli.

Nid yw cysylltu’r VPN â chysylltiad yn warant cychwyn

Yn nm-connection-editor, dewiswch y cysylltiad gwifrog neu ddi-wifr yn hytrach na’r VPN, agorwch y tab General, ticiwch yr opsiwn i gysylltu â VPN yn awtomatig ac enwch y proffil. Yna mae NetworkManager yn actifadu’r VPN fel cysylltiad eilaidd pan fydd yr un sylfaenol yn cyrraedd cyflwr cysylltiedig. Mae hynny’n ddibyniaeth, nid yn rheol mur tan. Gall pecynnau fynd allan o hyd yn ystod yr eiliadau cyn i’r tiwnel godi, ac mae cyfrinach stôr sy’n methu â datgloi yn gadael y peiriant ar-lein hebddi.

Os yw’r gofyniad yn un nad yw dim yn mynd allan heb y tiwnel, dywedwch hynny ac adeiladwch switsh lladd, oherwydd ni fydd y gosodiad hwn yn darparu un. Profwch atal ailddechrau hefyd, gan fod y cysylltiad eilaidd yn cael ei ailosod ar y ffordd yn ôl i fyny.

Mae enghraifft systemd angen enw ffeil sy’n cyfateb

Rhowch y proffil yn y cyfeiriadur cleient y mae’r pecyn yn ei ddisgwyl, fel /etc/openvpn/client/office.conf, a chyfeiriwch at y ffeil ddogfennau o’i fewn ag auth-user-pass office.cred. Enw’r enghraifft yw enw’r ffeil heb y goddefiad, felly mae openvpn-client@office yn darllen office.conf. Galluogwch hi ag sudo systemctl enable --now openvpn-client@office a chadarnhewch y mapio ag systemctl cat openvpn-client@office yn hytrach na throi at enghraifft o flog.

Mae llwybrau o fewn y proffil yn cael eu datrys yn gymharol â chyfeiriadur gwaith yr uned, nid â’r proffil ei hun, felly gall llinell gymharol ca neu auth-user-pass fethu wrth gychwyn tra’i bod yn gweithio pan fyddwch yn ei phrofi â llaw. Defnyddiwch lwybrau absoliwt ar gyfer unrhyw beth y mae’n rhaid i’r uned ei ddarganfod. Yna darllenwch journalctl -u openvpn-client@office -b ar ôl cychwyn go iawn; mae uned sy’n adrodd ei bod yn actif heb diwnel fel arfer yn enwi ffeil sydd ar goll yn y log hwnnw.

Mae pecynnau hŷn yn cludo enw templed gwahanol, felly mae systemctl list-unit-files 'openvpn*' yn setlo pa un sydd ar y gwesteiwr hwn.

Mae ymddygiad ailgysylltu’n benderfyniad ar wahân

Mae proffil ag ping-restart yn ailadeiladu’r tiwnel ar ôl iddo ddisgyn, ac mae uned â chyfarwyddeb ailgychwyn yn gwneud rhywbeth tebyg ar lefel y gwasanaeth. Mae’r rheini’n bolisïau rydych yn eu dewis, nid yn rhagosodiadau rydych yn eu hetifeddu. Os dylai’r cysylltiad godi yn ôl y galw yn unig, tynnwch yr ymddygiad ailgychwyn yn fwriadol ac ysgrifennwch pam. Os yw’r uned yn cychwyn cyn bod y rhwydwaith yn ddefnyddiadwy, mae angen polisi ailgynnig arni, oherwydd nid yw un ymgais fethiedig wrth gychwyn yn ailadrodd ohoni ei hun.

Mae stopio yr un mor llythrennol: mae sudo systemctl disable --now openvpn-client@office yn stopio’r enghraifft sy’n rhedeg ac yn tynnu’r ddolen gychwyn. Mae analluogi ar ei ben ei hun yn gadael y tiwnel yn rhedeg hyd at yr ailgychwyn nesaf, sy’n synnu unrhyw un sy’n profi drwy analluogi a gwylio’r rhyngwyneb yn aros i fyny.

Ailgychwynnwch, yna gwiriwch bedwar peth yn eu trefn

Mae ailgychwyn y gwasanaeth yn profi’r gwasanaeth; mae ailgychwyn y peiriant yn profi’r llwybr cychwyn. Ar ôl yr ailgychwyn, cadarnhewch fod yr uned wedi codi, yna fod llwybr yn bodoli ar gyfer yr is-rwydwaith pell, yna pa gyfeiriad y mae’r peiriant yn ei gyflwyno i’r rhyngrwyd, ac yn olaf fod enwau’n datrys drwy’r tiwnel. Mae’r pedwar gwiriad hynny’n methu yn y drefn honno pan fo rhywbeth o’i le, sy’n gwneud y methiant cyntaf yn un defnyddiol.

Mae uned sy’n actif heb lwybr fel arfer yn golygu bod y proffil wedi cysylltu ond nad oedd y gweinydd wedi gwthio unrhyw lwybr, neu fod y llwybr wedi’i osod ar ryngwyneb a ddiflannodd yn ddiweddarach. Mae llwybr heb chwilio enwau gweithredol yn pwyntio at ffurfweddiad DNS yn hytrach nag at y tiwnel ei hun.

Penderfynwch ymlaen llaw beth ddylai ddigwydd pan na all y tiwnel godi. Mae dychwelyd at gysylltiad cyffredin yn bolisi, a dylid ei ysgrifennu i lawr yn hytrach na’i adael i ba reolwr bynnag a gychwynnodd gyntaf.