Mae eich VPN yn gweithio ar ôl mewngofnodi yn unig oherwydd y cylch allweddi

Mae’r gorchymyn yn gweithio pan ydych wedi mewngofnodi, felly rydych yn ei roi mewn sgript gychwyn ac yn mynd adref. Y bore nesaf mae’r peiriant ar-lein a’r twnnel ddim. Y myth yw bod galwad sy’n gweithio yn wasanaeth sy’n gweithio. Yn ymarferol, un o ddau beth yw’r gwahaniaeth fel arfer: mae’r proffil yn perthyn i’ch sesiwn defnyddiwr yn hytrach na’r system, neu mae’r gyfrinach yn cael ei datgloi gan rywbeth nad yw’n bodoli ond ar ôl i chi fewngofnodi. Mae’r ddau yn gweithio’n berffaith mewn prawf â llaw ac yn methu yn union ar y funud nad oes neb yn gwylio.

Pam mae mewngofnodi yn ei wneud yn gweithio

Mae mewngofnodi graffigol yn dechrau bws sesiwn ac asiant gwasanaeth cyfrinachau, a dyma lle mae llawer o gleientiaid sy’n canolbwyntio ar y bwrdd gwaith yn cadw cyfrinair y proffil neu gyfrinymadrodd yr allwedd breifat. Gall actifadiad sy’n rhedeg fel eich defnyddiwr ar ôl mewngofnodi ofyn i’r asiant hwnnw am y gyfrinach a llwyddo. Nid oes gan yr un actifadiad a weithredir gan uned amser cychwyn sesiwn, na bws, nac asiant, felly mae’r chwiliad yn methu neu’n blocio ar anogwr nad oes neb yn ei weld.

Rhedwch yr un proffil cyn ac ar ôl mewngofnodi a chewch ddau ganlyniad gwahanol o un ffurfweddiad. Dyna lofnod dibyniaeth ar dystlythyrau, nid twnnel wedi torri, ac mae’n egluro pam mae prawf â llaw mewn terfynell yn profi llai nag y mae’n ymddangos. Mae’r twnnel yn iawn; y peth sy’n datgloi ei gyfrinach sydd ar goll.

Penderfynwch pa berchennog sy’n dechrau’r twnnel

Mae dau batrwm a gefnogir, a’u cymysgu yw’r ffordd arall y mae hyn yn methu. Gall NetworkManager actifadu cysylltiad ar raddfa system, sy’n briodol pan mae’r peiriant eisoes yn canoli ei rwydweithio yno. Fel arall, mae uned systemd bwrpasol yn rhedeg y VPN yn uniongyrchol ac yn berchen ar y rhyngwyneb ei hun.

systemctl list-unit-files 'openvpn*'
systemctl list-unit-files 'wg-quick*'
nmcli connection show --active
systemctl enable --now wg-quick@wg0

Peidiwch â rhedeg y ddau berchennog yn erbyn un ffurfweddiad. Os yw NetworkManager yn rheoli’r rhyngwyneb ac mae uned hefyd yn ei godi, byddant yn ymladd dros lwybrau a DNS, ac mae’r cyflwr canlyniadol yn dibynnu ar bwy a orffennodd olaf.

Rhowch y gyfrinach lle gall gwasanaeth ei darllen

Ni all gwasanaeth cefndir ateb anogwr. Mae cyfrinymadroddion tystysgrif, cyfrineiriau cyfrif a ffeiliau dilysu a gyfeirir atynt i gyd angen trefniant storio y gall yr uned ei gyrraedd heb berson, sy’n eiddo i’r cyfrif sy’n rhedeg y gwasanaeth ac yn annarllenadwy i bawb arall.

Y llwybr byr temtasiwn yw gwneud y ffeil yn ddarllenadwy i bawb nes bod y gwall caniatâd yn diflannu. Mae hynny’n cyfnewid methiant cychwyn am amlygiad hirdymor o dystlythyrau, a dyna’r math o newid nad oes neb yn ei ailymweld. Defnyddiwch y mecanwaith y mae’r defnydd eisoes yn ymddiried ynddo: ffeil dystlythyrau gyfyngedig, allwedd heb ei hamgryptio sy’n cael ei gwarchod gan ganiatadau ffeil, neu gysylltiad ar raddfa system gyda’i storfa gyfrinachau ei hun.

Profwch y digwyddiad sy’n digwydd mewn gwirionedd

Mae cychwyn y gwasanaeth â llaw ar ôl mewngofnodi yn profi bron ddim. Ailgychwynnwch, neu analluogwch y mewngofnodi graffigol am un cylch, a gwyliwch yr uned yn codi ar ei phen ei hun. Dyna’r unig brawf sy’n arfer argaeledd dystlythyrau, parodrwydd y rhwydwaith a threfn unedau gyda’i gilydd. Dyma hefyd y prawf sy’n atgynhyrchu’r methiant a adroddwyd gan y defnyddiwr, rhywbeth nad yw cychwyn â llaw byth yn ei wneud.

systemctl is-enabled wg-quick@wg0
journalctl -u wg-quick@wg0 -b --no-pager
systemctl status systemd-networkd-wait-online --no-pager

Mae trefn yr un mor bwysig â thystlythyrau. Bydd uned sy’n cychwyn cyn i’r cyswllt i fyny sylfaenol gael ei ffurfweddu yn rhoi’r gorau iddi, ac mae rhai dosbarthiadau yn wahanol o ran a ydynt yn aros am gysylltedd. Os yw’r uned yn adrodd methiant wrth gychwyn ond yn llwyddo pan gaiff ei chychwyn â llaw dri deg eiliad yn ddiweddarach, rydych wedi dod o hyd i broblem trefn yn hytrach na phroblem gyfrinach.

Gwiriwch lwybrau a DNS, nid y rhyngwyneb yn unig

Nid yw rhyngwyneb sy’n bodoli yn twnnel sy’n gweithio. Ar ôl cychwyn heb oruchwyliaeth, gwiriwch y llwybrau, cyflwr y datryswr ac un cyrchfan yn ôl cyfeiriad cyn gwirio enw. Yna gwiriwch y rhaglen y mae’r twnnel yn bodoli ar ei chyfer.

ip -4 route show
resolvectl status
ping -c 3 10.61.0.1
curl -sS --max-time 5 https://internal.example/ -o /dev/null -w '%{http_code}\n'

Os yw’r cyfeiriad yn gweithio a’r enw ddim, y broblem sy’n weddill yw polisi DNS ac nid y twnnel. Cofnodwch pa berchennog sy’n dechrau’r gwasanaeth a ble mae’r gyfrinach yn byw, oherwydd bydd y person nesaf sy’n ailgychwyn y peiriant hwn angen y ddwy ffaith.