Kio fakte okazas kiam vi startigas VPN en Linux

Premu konekti kaj tri aferoj ŝanĝiĝas en Linuksa maŝino: interfaco aperas, itineroj instaliĝas, kaj la solvilo komencas respondi alimaniere. Plej multaj malsukcesoj de agordado venas de tio, ke unu el tiuj tri okazas sen la aliaj, aŭ de du programoj malkonsentantaj pri tio, kiu posedas ilin. Kompreni la sinsekvon klarigas la malsukceson pli rapide ol legi la protokolan eligon de kliento.

Interfaco aperas antaŭ ol io ajn funkcias

Tunela kliento malfermas virtualan interfacon kaj transdonas pakaĵojn al ĝi. TUN-aparato portas IP-pakaĵojn, kion bezonas itinera VPN; TAP-aparato portas Ethernet-kadrojn, kion bezonas ponto-desegno. La kernmodulo provizas la aparaton, kaj la kliento posedas ĝin dum la tuta daŭro de la seanco.

La apero de la interfaco ne samas al funkcianta tunelo. Ĝi povas ekzisti kun adreso dum la partnero estas neatingebla, kaj tial la interfaclisto estas la unua kontrolo, ne la lasta. Aparato, kiu raportas sin supren, priskribas la vidon de la kerno pri virtuala ligo, ne la pretecon de la partnero respondi.

Lasu la provizitan interfacan reĝimon trankvila. Ŝanĝi TUN-profilon al TAP ne igas itineran servilon ponta, kaj ĝi kutime produktas konekton, kiu establiĝas kaj plusendas nenion.

Itinerojn instalas tiu, kiu posedas la tunelon

Itineroj estas la dua ŝanĝo, kaj ilia proprieto pli gravas ol ilia enhavo. NetworkManager-profilo, systemd-unuo kaj permane lanĉita kliento ĉiuj povas instali itinerojn, kaj kiam du el ili faras tion samtempe, rezultiĝas tabelo, kiun poste neniu povas klarigi.

ip -br addr show
ip route show
ip -6 route show

Plentunela profilo anstataŭigas la defaŭltan itineron; disigita tunela profilo aldonas pli specifajn itinerojn kaj lasas la defaŭltan trankvila. Ambaŭ estas normalaj, kaj la dua estas kial forigi defaŭltan itineron estas malbona unua kontrolo sur maŝino, kiun vi administras malproksime. Forigo estas ankaŭ la plej rapida maniero perdi la seancon, kiun vi uzas por ripari la problemon.

Legu la tabelon anstataŭ supozi. Pli specifa itinero aŭ politika regulo povas sendi trafikon en la tunelon dum la defaŭlta itinero ankoraŭ montras al la fizika interfaco, kio aspektas kontraŭdira ĝis vi legos la tutan tabelon. Tiu kombinaĵo estas normala por disigita tunelo kaj konfuza por ĉiu, kiu atendas, ke unu linio priskribu la desegnon. Serĉu la itineron, kiu kongruas kun via reala celo, ne tiun, kiu kongruas kun la diagramo.

La solvilo ŝanĝas manojn

DNS estas la tria ŝanĝo kaj la plej verŝajne administrata ie, kie vi ne rigardis. Sur labortabla komputilo, NetworkManager povas puŝi solvilajn agordojn po konekto. En sistemo uzanta systemd-resolved, la agordoj aplikiĝas po ligo kaj /etc/resolv.conf povas esti ŝtopilo aŭ simbola ligo anstataŭ dosiero, kiun vi devus redakti.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Se permana redakto de la solvila dosiero malaperas post rekonekto, tio estas la signalo trovi la komponanton, kiu ĝin prizorgas, kaj ŝanĝi anstataŭe la profilon. Redakti la generitan dosieron estas ŝanĝo, kiun rekonekto forviŝos.

Privataj nomoj kutime bezonas la internan solvilon kaj la serĉajn domajnojn, kiujn la funkciigisto provizis. Anstataŭigi per publika solvilo povas rompi ĝuste tiun rimedon, por kiu la VPN ekzistas, kaj la simptomo aspektas kiel itinera malsukceso, ne kiel DNS-malsukceso. Testu la nomon kaj la adreson aparte, ĉar unu funkcianta kaj la alia malsukcesanta diras al vi precize, kie rigardi. Tiu sola komparo ŝparas horon da itinerdepurado.

Unu administrilo por konekto

La profila formato decidas, kiun programon povas uzi ĝin. OpenVPN-profilo bezonas OpenVPN aŭ kongruan kromprogramon, kaj WireGuard-agordo havas sian propran formaton kun partneraj ŝlosiloj kaj permesitaj prefiksoj. Importa dialogo ne tradukas unu en la alian, kion ajn sugestas la dosiera etendo.

Elektu unu administrilon kaj lasu ĝin posedi la konekton. Levi la saman tunelon per du iloj igas la itineran tabelon kaj la rekonektan konduton ambigua, kaj la dua, kiu startas, kutime venkas per manieroj malfacile reprodukteblaj.

Instalu la pakaĵojn, kiujn via distribuo subtenas, kaj akiru la profilon de la funkciigisto. Traktu ĝin kiel akreditilon, ĉar ĝi kutime enhavas privatan ŝlosilon aŭ ekvivalentan materialon, kaj konservu ĝin tie, kie loĝas la resto de viaj sekretoj. Profilo lasita en elŝuta dosierujo estas ŝlosilo lasita sur skribotablo.

Kion kontroli, kiam ĝi estas supren sed ne funkcias

Kun la interfaco supren kaj la kliento raportanta sukceson, laboru eksteren: ĉu la itinera tabelo elektas la tunelon por la celo, ĉu la solvilo respondas por la privata nomo, kaj ĉu la kontraŭa flanko havas revenan vojon. Ĉiu havas apartan komandon kaj apartan posedanton.

nmcli connection show --active
nmcli device status
wg show

La nmcli-referenco dokumentas la statusajn kaj konektajn komandojn se vi bezonas la plenan aron. Kio gravas ĉi tie estas la distingo inter profilo aktiva kaj aparato portanta trafikon, ĉar la du povas malkonsenti.

Rekonektu unufoje per la sama administrilo antaŭ ol nomi la agordon finita, kaj kontrolu, ke DNS ankoraŭ funkcias post malkonekto. Agordo, kiu funkcias nur ĝis la unua reta ŝanĝo, ne estas finita, ĝi simple funkcias en ĉi tiu momento.