Beth sy'n digwydd mewn gwirionedd pan fyddwch yn cychwyn VPN ar Linux

Gwasgwch gysylltu ac mae tri pheth yn newid ar beiriant Linux: mae rhyngwyneb yn ymddangos, mae llwybrau yn cael eu gosod, ac mae'r datryswr yn dechrau ateb yn wahanol. Daw'r rhan fwyaf o fethiannau sefydlu o un o'r tri hyn yn digwydd heb y lleill, neu o ddau raglen yn anghytuno ynghylch pwy sy'n berchen arnynt. Mae deall y dilyniant yn esbonio'r methiant yn gyflymach na darllen allbwn log cleient.

Mae rhyngwyneb yn ymddangos cyn i unrhyw beth weithio

Mae cleient twnnel yn agor rhyngwyneb rhithwir ac yn rhoi pecynnau iddo. Mae dyfais TUN yn cario pecynnau IP, sef yr hyn sydd ei angen ar VPN a lwybrir; mae dyfais TAP yn cario fframiau Ethernet, sef yr hyn sydd ei angen ar ddyluniad pont. Mae'r modiwl cnewyllyn yn darparu'r ddyfais, ac mae'r cleient yn berchen arni cyhyd ag y bydd y sesiwn yn para.

Nid yw'r rhyngwyneb yn codi yr un peth â'r twnnel yn gweithio. Gall fodoli gyda chyfeiriad tra bo'r cymar yn anghyrraeddadwy, a dyna pam mai'r rhestr ryngwynebau yw'r prawf cyntaf yn hytrach na'r olaf. Mae dyfais sy'n adrodd ei bod wedi codi yn disgrifio golwg y cnewyllyn ar gyswllt rhithwir, nid parodrwydd y cymar i ateb.

Gadewch y modd rhyngwyneb a ddarparwyd yn dawel. Nid yw newid proffil TUN i TAP yn troi gweinydd llwybr yn un pont, ac fel arfer mae'n cynhyrchu cysylltiad sy'n sefydlu ac yn anfon dim.

Mae'r llwybrau yn cael eu gosod gan bwy bynnag sy'n berchen ar y twnnel

Y llwybrau yw'r ail newid, ac mae eu perchnogaeth yn bwysicach na'u cynnwys. Gall proffil NetworkManager, uned systemd a chleient a reolir â llaw i gyd osod llwybrau, ac mae dau ohonynt yn gwneud hynny ar unwaith yn cynhyrchu tabl na all neb ei esbonio wedyn.

ip -br addr show
ip route show
ip -6 route show

Mae proffil twnnel llawn yn disodli'r llwybr diofyn; mae proffil twnnel hollt yn ychwanegu llwybrau mwy penodol ac yn gadael y diofyn yn dawel. Mae'r ddau yn normal, a'r ail yw'r rheswm pam mai dileu llwybr diofyn yw prawf cyntaf gwael ar beiriant a weinyddir o bell. Mae ei dynnu hefyd yw'r ffordd gyflymaf o golli'r sesiwn rydych yn ei defnyddio i drwsio'r broblem.

Darllenwch y tabl yn hytrach na chymryd yn ganiataol. Gall llwybr mwy penodol neu reol bolisi anfon traffig i'r twnnel tra bo'r llwybr diofyn yn dal i bwyntio at y rhyngwyneb ffisegol, sy'n edrych yn groes nes i chi ddarllen y tabl cyfan. Mae'r cyfuniad hwnnw'n normal ar gyfer twnnel hollt ac yn ddryslyd i unrhyw un sy'n disgwyl i un llinell ddisgrifio'r dyluniad. Chwiliwch am y llwybr sy'n cyfateb i'ch cyrchfan wirioneddol, nid yr un sy'n cyfateb i'r diagram.

Mae'r datryswr yn newid dwylo

DNS yw'r trydydd newid a'r un sydd fwyaf tebygol o gael ei reoli yn rhywle na wnaethoch edrych. Ar gliniadur, gall NetworkManager wthio gosodiadau datryswr fesul cysylltiad. Ar system sy'n defnyddio systemd-resolved, mae'r gosodiadau'n cael eu cymhwyso fesul cyswllt a gall /etc/resolv.conf fod yn stub neu'n ddolen symbolaidd yn hytrach na ffeil y dylech ei golygu.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Os yw golygiad â llaw i ffeil y datryswr yn diflannu ar ôl ailgysylltu, dyna'r arwydd i ddod o hyd i'r gydran sy'n ei chynnal a newid y proffil yn lle hynny. Mae golygu'r ffeil a gynhyrchwyd yn newid y bydd ailgysylltu yn ei ddileu.

Mae enwau preifat fel arfer yn gofyn am y datryswr mewnol a'r parthau chwilio a ddarparwyd gan y gweithredwr. Gall disodli â datryswr cyhoeddus dorri'r union adnodd y mae'r VPN yn bodoli i'w gyrraedd, ac mae'r symptom yn edrych fel methiant llwybro yn hytrach na methiant DNS. Profwch yr enw a'r cyfeiriad ar wahân, oherwydd mae un yn gweithio a'r llall yn methu yn dweud yn union ble i edrych. Mae'r un gymhariaeth honno'n arbed awr o ddadfygio llwybrau.

Un rheolwr fesul cysylltiad

Mae fformat y proffil yn penderfynu pa raglen all ei ddefnyddio. Mae proffil OpenVPN angen OpenVPN neu ategyn cydnaws, ac mae gan ffurfweddiad WireGuard ei fformat ei hun gydag allweddi cymar a rhagddodiadau a ganiateir. Nid yw deialog mewnforio yn cyfieithu un i'r llall, beth bynnag y mae estyniad y ffeil yn ei awgrymu.

Dewiswch un rheolwr a gadewch iddo fod yn berchen ar y cysylltiad. Mae codi'r un twnnel drwy ddau offeryn yn gwneud y tabl llwybrau a'r ymddygiad ailgysylltu'n amwys, ac fel arfer y llall i gychwyn sy'n ennill mewn ffyrdd sy'n anodd eu hailgynhyrchu.

Gosodwch y pecynnau y mae eich dosbarthiad yn eu cefnogi a chael y proffil gan y gweithredwr. Triniwch ef fel manylyn newid ac enw, oherwydd mae fel arfer yn cynnwys allwedd breifat neu ddeunydd cyfatebol, a'i storio lle mae gweddill eich cyfrinachau'n byw. Mae proffil a adawyd mewn ffolder llwytho i lawr yn allwedd a adawyd ar ddesg.

Beth i'w wirio pan fydd i fyny ond heb weithio

Gyda'r rhyngwyneb i fyny a'r cleient yn adrodd llwyddiant, gweithiwch allan: a yw'r tabl llwybrau yn dewis y twnnel ar gyfer y cyrchfan, a yw'r datryswr yn ateb ar gyfer yr enw preifat, ac a oes gan yr ochr bell lwybr yn ôl. Mae gan bob un orchymyn ar wahân a pherchennog ar wahân.

nmcli connection show --active
nmcli device status
wg show

Mae cyfeirlyfr nmcli yn dogfennu'r gorchmynion statws a chysylltu os oes angen y set lawn arnoch. Yr hyn sy'n bwysig yma yw'r gwahaniaeth rhwng proffil sy'n weithredol a dyfais sy'n cario traffig, oherwydd gall y ddau anghytuno.

Ailgysylltwch unwaith drwy'r un rheolwr cyn galw'r sefydliad yn orffenedig, a gwirio bod DNS yn dal i weithio ar ôl datgysylltu. Nid yw ffurfweddiad sy'n gweithio tan y newid rhwydwaith cyntaf yn orffenedig, mae'n syml yn gweithio ar hyn o bryd.