Mis tegelikult juhtub, kui käivitate Linuxis VPN-i

Vajutage ühenda ja Linuxi masinas muutub kolm asja: tekib liides, paigaldatakse marsruudid ja resolver hakkab teisiti vastama. Enamik seadistustõrkeid tuleb sellest, et üks neist kolmest juhtub ilma teisteta, või sellest, et kaks programmi ei ole ühel meelel, kellele need kuuluvad. Järjestuse mõistmine selgitab tõrget kiiremini kui kliendi logiväljundi lugemine.

Liides tekib enne, kui miski tööle hakkab

Tunneliklient avab virtuaalse liidese ja annab sellele paketid. TUN-seade kannab IP-pakette, mida marsruuditud VPN vajab; TAP-seade kannab Etherneti kaadreid, mida vajab sildatud lahendus. Kerneli moodul pakub seadme ja klient omab seda seni, kuni seanss kestab.

Liidese tõusmine ei ole sama mis töötav tunnel. See võib eksisteerida koos aadressiga, samal ajal kui partner on kättesaamatu, ja seepärast on liideste loend esimene kontroll, mitte viimane. Seade, mis teatab end üleval olevat, kirjeldab kerneli vaadet virtuaalsele ühendusele, mitte partneri valmisolekut vastata.

Jätke antud liidese režiim puutumata. TUN-profiili muutmine TAP-iks ei muuda marsruuditud serverit sildatuks ja tavaliselt annab ühenduse, mis luuakse ja ei edasta midagi.

Marsruudid paigaldab see, kes tunneli omab

Marsruudid on teine muudatus ja nende omandisuhe on tähtsam kui nende sisu. NetworkManageri profiil, systemd-üksus ja käsitsi käivitatud klient võivad kõik marsruute paigaldada, ja kui kaks neist teevad seda korraga, tekib tabel, mida hiljem keegi seletada ei oska.

ip -br addr show
ip route show
ip -6 route show

Täistunneli profiil asendab vaikimisi marsruudi; jaotatud tunneli profiil lisab täpsemad marsruudid ja jätab vaikimisi marsruudi puutumata. Mõlemad on normaalsed, ja teine on põhjus, miks vaikimisi marsruudi kustutamine on halb esimene test masinas, mida haldate kaugelt. Selle eemaldamine on ka kiireim viis kaotada seanss, mida kasutate probleemi parandamiseks.

Lugege tabelit, mitte ärge oletage. Täpsem marsruut või poliitikareegel võib saata liikluse tunnelisse, samal ajal kui vaikimisi marsruut osutab endiselt füüsilisele liidesele, mis näib vastuolulisena, kuni loete kogu tabelit. See kombinatsioon on jaotatud tunneli puhul normaalne ja segadust tekitav kõigile, kes ootavad, et üks rida kirjeldaks lahendust. Otsige marsruuti, mis vastab teie tegelikule sihtkohale, mitte seda, mis vastab skeemile.

Resolver vahetab omanikku

DNS on kolmas muudatus ja see, mida kõige tõenäolisemalt hallatakse kuskil, kuhu te ei vaadanud. Töölaual võib NetworkManager saata resolveri seadeid ühenduse kaupa. Süsteemis, mis kasutab systemd-resolvedi, rakendatakse seadeid lingi kaupa ja /etc/resolv.conf võib olla stub või sümbollink, mitte fail, mida peaksite redigeerima.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Kui resolveri faili käsitsi tehtud muudatus kaob pärast uuesti ühendamist, on see signaal leida komponent, mis seda haldab, ja muuta selle asemel profiili. Loodud faili redigeerimine on muudatus, mille uuesti ühendamine kustutab.

Privaatnimed vajavad tavaliselt sisemist resolverit ja otsingudomeene, mille operaator andis. Avaliku resolveriga asendamine võib lõhkuda just selle ressursi, mille jaoks VPN olemas on, ja sümptom näib marsruutimistõrkena, mitte DNS-i tõrkena. Testige nime ja aadressi eraldi, sest see, et üks töötab ja teine ebaõnnestub, ütleb teile täpselt, kuhu vaadata. See üks võrdlus säästab tunni marsruutide silumist.

Üks haldur ühenduse kohta

Profiili vorming otsustab, milline programm saab seda kasutada. OpenVPN-i profiil vajab OpenVPN või ühilduvat pistikprogrammi, ja WireGuard-i konfiguratsioonil on oma vorming partneri võtmete ja lubatud eesliidetega. Impordidialoog ei tõlgi üht teiseks, mida iganes faililaiend vihjab.

Valige üks haldur ja laske sellel ühendust omada. Sama tunneli tõstmine kahe tööriistaga muudab marsruuditabeli ja uuesti ühendamise käitumise mitmetähenduslikuks ning tavaliselt võidab teine, mis käivitub, viisil, mida on raske korrata.

Paigaldage paketid, mida teie distributsioon toetab, ja hankige profiil operaatorilt. Käsitlege seda mandaadina, sest see sisaldab tavaliselt privaatvõtit või samaväärset materjali, ja hoidke seda seal, kus elavad teised teie saladused. Allalaadimiste kausta jäetud profiil on lauale jäetud võti.

Mida kontrollida, kui see on üleval, aga ei tööta

Kui liides on üleval ja klient teatab edust, liikuge väljapoole: kas marsruuditabel valib sihtkoha jaoks tunneli, kas resolver vastab privaatnimele ja kas vastaspoolel on tagasitee. Igal on eraldi käsk ja eraldi omanik.

nmcli connection show --active
nmcli device status
wg show

nmcli viide dokumenteerib oleku- ja ühenduskäsud, kui vajate tervet komplekti. Siin on oluline eristada aktiivset profiili ja liiklust kandvat seadet, sest need kaks võivad lahkneda.

Ühendage üks kord uuesti sama halduri kaudu, enne kui nimetate seadistuse valmis, ja kontrollige, et DNS töötab pärast katkestust endiselt. Konfiguratsioon, mis töötab ainult kuni esimese võrgu muudatuseni, ei ole valmis, see lihtsalt töötab praegu.