Pi VPN bezero gisa: kudeatzaile bakarra edo script propioa?

Bere irteera-trafikoa baino babestu behar ez duen Raspberry Pi batek bi diseinu errealista ditu: sare-kudeatzaileari tunelaren jabe izaten uztea, edo tunelaren jabe den script bat mantentzea. Biek trafikoa eraman dezakete. Toki ezberdinetan huts egiten dute, eta gaueko ordu bietan urrutitik diagnostikatu dezakezun hutsegitea da aukeratzea merezi duena. Konparatu itzazu jabetzaren arabera, tunel osoak IPv6 eta DNS sartuta esan nahi duenaren arabera, eta tunela erortzen den unean gertatzen denaren arabera.

Bi jabe tunel bakarrerako

A diseinua sistemaren sare-kudeatzailearen barneko profila da: inportatutako OpenVPN profila edo WireGuard konexio natiboa, abioan Ethernet eta Wi-Fi altxatzen dituen zerbitzu berak aktibatuta. B diseinua zure unitate propioa da, bezeroa zuzenean exekutatzen duena, resolver konfigurazioa editatu eta bere ibilbide eta suebaki arauak instalatzen dituena. Biak dira diseinu legitimoak; aldea da nork duen bideratze-taula aldatzeko baimena.

Hutsegiteak ezberdinak dira jabeak ezberdinak direlako. A-ren kasuan, aktibatzen ez den profil batek interfazea altxatuta eta tunela behera uzten ditu, eta kudeatzailearen erregistroek zergatik esaten dute. B-ren kasuan, erdi arrakastatsua den script batek sortu zituen prozesua bizirik irauten duten ibilbideak uzten ditu. Biak exekutatzea da emaitzarik okerrena: bi prozesu ibilbide lehenetsia idazten, bi resolver edizio abioan lehiatzen, eta bi sekretu multzo biratzeko.

Aukeratu jabe bat tunel bakoitzeko eta desgaitu bestea ezer probatu aurretik. Bi jabe izateak bi toki esan nahi ditu tunela altxatuta dagoenean eta ezer ebazten ez denean begiratzeko. Arau bakar horrek Pi VPN harizpietan deskribatutako egoera nahasgarri gehienak saihesten ditu.

Zer sortzen du inportazioak, eta zer ez

Raspberry Pi OS Bookworm eta geroago, sare-konfigurazioaren tresna lehenetsia NetworkManager da, beraz profila da bezero-tunel baten etxebizitza naturala. Inportazioak dagokion plugina instalatuta behar du; horren gabeziak huts egiten du onartzen ez den konexio mota bati buruzko mezuarekin, eta hori da gelditzeko eta plugina instalatzeko seinale zintzoa.

nmcli connection import type openvpn file ./provider.ovpn
nmcli connection show
nmcli --ask connection up id provider-name

Inportatzeak profila gordetzen du. Ez du frogatzen beste aldea irisgarria denik, eta ez du bermatzen fitxategiko direktiba bakoitzak bihurketari eusten dionik. Irakurri sortutako konexioa eta egiaztatu identitatea eta konfiantza daramaten zatiak: ziurtagiria, urruneko ostalaria eta ataka, eta pasahitza eskatzen edo gordetzen den.

--ask erabiliz aktibatzeak pasahitz-esaldia shell historiotik kanpo uzten du partekatutako makinan. Gainbegiratu gabeko Pi baterako, azkenean profila abioan altxatzea nahi izango duzu, eta hori eskuz behin altxatzearen erabaki desberdina da.

Tunel osoa, bi diseinuen konparazioan

Tunel osoa ibilbideei buruzko baieztapena da, ez asmoei buruzkoa, eta bi diseinuek modu ezberdinean adierazten dute. Profilaren ikuspegiak kudeatzaileari ibilbide lehenetsia eta bere resolver ezarpenak instalatzeko eskatzen dio; scriptaren ikuspegiak scriptak dioena egiten du, ezer ez egitea barne. Inongo diseinuk ez du IPv6 estaltzen esaten ez bazaio, eta ukitu gabeko IPv6 ibilbide lehenetsi batek pozik eramango du trafikoa tunelatik kanpora IPv4 perfektu itxuraz dagoen bitartean.

ip -4 route get 198.51.100.23
ip -6 route show default
resolvectl query example.org

Erabili dokumentazio helbide bat ibilbidearen kontsultarako eta ordeztu probatzeko baimena duzun ostalari batekin. Lehen komandoak erakusten du zein interfaze erabiliko lukeen Pik ohiko helmuga baterako; bigarrenak erakusten du IPv6 ibilbide lehenetsia oraindik badagoen; hirugarrenak frogatzen du zein resolverrek erantzun zuen. Irakurri hirurak tunel oso bati buruzko edozein baieztapen sinetsi aurretik.

Hornitzailearen argibideek tunel osoa agintzen badute baina IPv6 ibilbide lehenetsiak irauten badu, Pik ihes egiten du. Desgaitu IPv6 gorako estekan edo eskatu profilari hori aldarrikatzeko, eta erabaki kontzienteki geroago deskubritu beharrean.

Huts egite irekia huts egite itxiaren aurka

Tunela erortzen denean, bere ibilbide lehenetsia galtzen duen bideratze-taulak atzera egiten du esteka fisikoan, eta trafikoak argi jarraitzen du. Hori huts egite irekia da, eta bi diseinuen portaera lehenetsia da zerbait eragozten ez badio. Jende gehienak aste batzuk geroago deskubritzen du suebaki erregistro bat irakurtzen.

Huts egite itxiak urrutiko sarbidea kostatzen dizu tunela behera dagoenean, beraz kudeaketa-bidearentzako salbuespen kontziente bat behar du. Modu bat VPN parekidearen helbidea soilik tunelatik kanpora uzten duen araua da:

sudo nft add table inet vpnkill
sudo nft 'add chain inet vpnkill out { type filter hook output priority 0; policy accept; }'
sudo nft add rule inet vpnkill out oifname != "tun0" ip daddr != 203.0.113.24 reject

Konparatu eragiketa-kostua zintzotasunez. Profilek normalean ezin du arau hau adierazi, beraz huts egite itxiak script diseinurantz edo araua tunelaren menpe ez duen unitate txiki baterantz bultzatzen zaitu. Nolanahi ere, erregistratu ukapenak astebetez: ukapen isilak zerbitzu hondatu baten berdin-berdina dirudi, eta kontagailua nahi izango duzu erabiltzaile batek gune bat kargatzeari utzi diola jakinarazten duenean.

Pantaila gabeko Pi baterako aukera

Irudiak jada NetworkManager exekutatzen badu, tunelak ez badu ezer exotikorik behar, eta esteka gorakoari automatikoki jarraitzea nahi baduzu, hartu profila. Bideratze politikoak, helmugaren arabera aukeratutako hainbat tunel edo tunela altxatu aurretik egon behar duen huts egite itxiko arau bat behar badituzu, hartu scripta eta izan haren zati guztien jabe, abio-ordena eta garbiketa barne. Bi diseinuak nahasteak edozeinek bakarrik baino gehiago kostatzen du.

Hauen artean migratzea batez ere ordenaren kontua da: desgaitu jabe zaharra, egiaztatu ibilbide edo resolver sarrera zaharkiturik ez dela bizirik irauten, eta gero gaitu berria eta berrabiarazi bitan. Berrabiarazte bakar batek bigarren batek agerian uzten duen lasterketa bat ezkuta dezake. Amaitu tunela ez, Pi probatuz: ebatzi izen bat, ekarri zerbait IPv4 bidez, ekarri IPv6 bidez gorde baduzu, gero bota tunela eta egiaztatu aukeratu zenuen portaera benetan gertatzen dela. ip link-ko interfaze bat probaren hasiera da, ez amaiera.