Zure VPNa saioa hasi ondoren baino ez da funtzionatzen gako-sortagatik

Komandoa saioa hasita duzunean funtzionatzen du, beraz abiarazte-script batean jartzen duzu eta etxera zoaz. Hurrengo goizean makina linean dago eta tunela ez. Mitoa da funtzionatzen duen dei bat funtzionatzen duen zerbitzua dela. Praktikan aldea bi gauzetako bat izan ohi da: profila zure erabiltzaile-saioarena da, sistemarena ez, edo sekretua saioa hasi ondoren baino existitzen ez den zerbait-ek desblokeatzen du. Biek primeran funtzionatzen dute eskuzko proba batean eta huts egiten dute inork begiratzen ez duen unean.

Zergatik egiten duen saio-hasierak funtziona dezan

Saio-hasiera grafiko batek saio-bus bat eta sekretu-zerbitzuaren agente bat abiarazten ditu, eta han gordetzen dute mahaigainera bideratutako bezero askok profilaren pasahitza edo gako pribatuaren pasaesaldia. Saioa hasi ondoren zure erabiltzaile gisa exekutatzen den aktibazio batek agente horri sekretua eska diezaioke eta arrakasta izan. Abiarazte-unitate batek exekutatutako aktibazio berberak ez du saiorik, busik ez agenterik, beraz bilaketak huts egiten du edo inork ikusten ez duen gonbidapen batean blokeatzen da.

Exekutatu profil bera saioa hasi aurretik eta ondoren eta konfigurazio batetik bi emaitza desberdin lortuko dituzu. Hori kredentzialen mendekotasunaren sinadura da, ez tunel haustuarena, eta azaltzen du zergatik terminal batean eskuz egindako probak itxuraz baino gutxiago frogatzen duen. Tunela ondo dago; falta dena bere sekretua desblokeatzen duena da.

Erabaki zein jabek abiarazten duen tunela

Bi eredu onartzen dira, eta horiek nahastea da hau huts egiteko beste modua. NetworkManagerek sistema-mailako konexioa aktiba dezake, egokia da makina dagoeneko bertan bere sareketa zentralizatzen duenean. Bestela, systemd unitate dedikatu batek VPNa zuzenean exekutatzen du eta interfazea bera du jabe.

systemctl list-unit-files 'openvpn*'
systemctl list-unit-files 'wg-quick*'
nmcli connection show --active
systemctl enable --now wg-quick@wg0

Ez exekutatu bi jabe konfigurazio beraren aurka. NetworkManagerek interfazea kudeatzen badu eta unitate batek ere altxatzen badu, ibilbide eta DNSengatik borrokatuko dira, eta ondoriozko egoera azkena nor amaitu den araberakoa da.

Jarri sekretua zerbitzuak irakurri dezakeen tokian

Atzeko planoko zerbitzu batek ezin dio gonbidapen bati erantzun. Ziurtagirien pasaesaldiek, kontu-pasahitzek eta erreferentziatutako autentifikazio-fitxategiek giza laguntzarik gabe unitateak iristeko moduko biltegiratze-antolaketa behar dute, zerbitzua exekutatzen duen kontuaren jabetzakoa eta gainerako guztientzat irakurgaitza.

Bide labur tentagarria fitxategia guztientzat irakurgarri egitea da, baimen-errorea desagertu arte. Horrek abiarazte-hutsegitea kredentzialen erakusketa luze baten truke aldatzen du, eta inork berrikusten ez duen aldaketa mota da. Erabili hedapenak jada fidatzen duen mekanismoa: kredentzial-fitxategi murriztua, fitxategi-baimenek babestutako gako ez-enkriptatua, edo bere sekretu-biltegi propioa duen sistema-mailako konexioa.

Probatu benetan gertatzen den gertaera

Zerbitzua eskuz abiaraztea saioa hasi ondoren ia ezer ez da probatzen. Berrabiarazi, edo desgaitu saio-hasiera grafikoa ziklo batez, eta ikusi unitatea bere kabuz altxatzen. Hau da kredentzialen eskuragarritasuna, sarearen prestutasuna eta unitateen ordena batera probatzen dituen proba bakarra. Erabiltzaileak jakinarazitako hutsegitea erreproduzitzen duen proba ere bada, eta eskuzko abiarazteak inoiz ez du hori egiten.

systemctl is-enabled wg-quick@wg0
journalctl -u wg-quick@wg0 -b --no-pager
systemctl status systemd-networkd-wait-online --no-pager

Ordenak kredentzialek adina balio du. Oinarrizko goi-esteka konfiguratu aurretik abiarazten den unitate batek amore emango du, eta distribuzio batzuek ezberdin jokatzen dute konektibitatearen zain dauden ala ez. Unitateak abiaraztean hutsegitea jakinarazten badu baina hogeita hamar segundo geroago eskuz abiarazita arrakasta badu, ordena-arazoa aurkitu duzu, ez sekretu-arazoa.

Egiaztatu ibilbideak eta DNS, ez soilik interfazea

Dagoen interfaze bat ez da funtzionatzen duen tunela. Gainbegiratu gabeko abiarazte baten ondoren, egiaztatu ibilbideak, ebazlearen egoera eta helmuga bat helbidearen arabera, izena egiaztatu aurretik. Ondoren egiaztatu tunela existitzen den aplikazioa.

ip -4 route show
resolvectl status
ping -c 3 10.61.0.1
curl -sS --max-time 5 https://internal.example/ -o /dev/null -w '%{http_code}\n'

Helbideak funtzionatzen badu eta izenak ez, geratzen den arazoa DNS politika da eta ez tunela. Idatzi zein jabek abiarazten duen zerbitzua eta non bizi den sekretua, makina hau berrabiaraziko duen hurrengo pertsonak bi datuak beharko ditu eta.