Zer gertatzen den benetan Linux-en VPN bat hastean

Sakatu konektatu eta hiru gauza aldatzen dira Linux makinan: interfaze bat agertzen da, ibilbideak instalatzen dira eta ebazlea beste modu batera erantzuten hasten da. Konfigurazio-hutsegite gehienak hiru horietako bat besteak gabe gertatzen delako datoz, edo bi programak horiek nori dagozkion ados ez daudelako. Segida ulertzeak hutsegitea azkarrago azaltzen du bezero baten erregistro-irteera irakurtzeak baino.

Interfaze bat agertzen da ezerk funtzionatu aurretik

Tunel-bezero batek interfaze birtual bat irekitzen du eta paketeak hari ematen dizkio. TUN gailu batek IP paketeak eramaten ditu, VPN bideratuak behar duena; TAP gailu batek Ethernet markoak eramaten ditu, zubi-diseinuak behar duena. Kernelaren moduluak gailua ematen du, eta bezeroak saioa irauten duen bitartean edukiko du.

Interfazea igotzea ez da tunela funtzionatzea. Helbide batekin egon daiteke parekoa irisgaitza den bitartean, eta horregatik interfazeen zerrenda lehen egiaztapena da, ez azkena. Igo dela jakinarazten duen gailu batek kernelak esteka birtual bati buruz duen ikuspegia deskribatzen du, ez parekoaren erantzuteko borondatea.

Utzi emandako interfaze-modua bere horretan. TUN profila TAP bihurtzeak ez du bideratutako zerbitzari bat zubidun bihurtzen, eta normalean ezartzen den baina ezer ere aurreratzen ez duen konexio bat sortzen du.

Ibilbideak tunelaren jabeak instalatzen ditu

Ibilbideak bigarren aldaketa dira, eta haien jabetza haien edukia baino garrantzitsuagoa da. NetworkManager profila, systemd unitate bat eta eskuz exekutatutako bezero bat guztiek instala ditzakete ibilbideak, eta haietako bik aldi berean egiten badute, gero inork azaldu ezin duen taula bat sortzen da.

ip -br addr show
ip route show
ip -6 route show

Tunel osoaren profilek lehenetsitako ibilbidea ordezkatzen du; tunel zatituaren profilek ibilbide zehatzagoak gehitzen ditu eta lehenetsia bere horretan uzten du. Biak dira normalak, eta bigarrena da lehenetsitako ibilbide bat ezabatzea urrutitik administratzen duzun makina batean lehen proba txarra izatearen arrazoia. Kentzea arazoa konpontzeko erabiltzen duzun saioa galtzeko modurik azkarrena ere bada.

Irakurri taula suposatu ordez. Ibilbide zehatzago batek edo politika-arau batek trafikoa tunelera bidal dezake lehenetsitako ibilbideak oraindik interfaze fisikoa adierazten duen bitartean, eta hori kontraesankorra dirudi taula osoa irakurri arte. Konbinazio hori normala da tunel zatituarentzat eta diseinua lerro bakar batez deskribatzea espero duenarentzat nahasgarria. Bilatu zure benetako helmugarekin bat datorren ibilbidea, diagramarekin bat datorrena ez.

Ebazleak eskuak aldatzen ditu

DNS hirugarren aldaketa da, eta gehien kontrolatzen dena begiratu ez duzun leku batean. Mahaigaineko batean, NetworkManager-ek ebazlearen ezarpenak konexio bakoitzeko bidal ditzake. systemd-resolved erabiltzen duen sistema batean, ezarpenak esteka bakoitzeko aplikatzen dira eta /etc/resolv.conf stub edo esteka sinboliko bat izan daiteke, editatu beharko zenukeen fitxategia izan beharrean.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Ebazlearen fitxategian eskuz egindako aldaketa bat berriro konektatu ondoren desagertzen bada, hori da hura mantentzen duen osagaia aurkitu eta horren ordez profila aldatzeko seinalea. Sortutako fitxategia editatzea berriro konektatzeak ezabatuko duen aldaketa da.

Izen pribatuek normalean operadoreak eman zituen barne-ebazlea eta bilaketa-domeinuak behar dituzte. Ebazle publiko bat jartzeak VPN-a existitzen den baliabidea bertan hauts dezake, eta sintomak bideratze-hutsegitea ematen du, ez DNS-hutsegitea. Probatu izena eta helbidea bereizita, batek funtzionatzeak eta besteak huts egiteak zehazki non begiratu esaten baitizue. Konparaketa bakar horrek ordu bat aurreztatzen du ibilbideen arazketan.

Kudeatzaile bat konexio bakoitzeko

Profilaren formatuak erabakitzen du zein programak erabil dezakeen. OpenVPN profilek OpenVPN edo plugin bateragarri bat behar dute, eta WireGuard konfigurazioak bere formatua du pareko gakoekin eta baimendutako aurrizkiekin. Inportazio-elkarrizketa batek ez du bat bestean bihurtzen, fitxategiaren luzapenak zer esan ere.

Aukeratu kudeatzaile bat eta utzi hari konexioaren jabetza. Tunel bera bi tresnaren bidez igotzeak ibilbide-taula eta berriro konektatzeko portaera anbiguo bihurtzen ditu, eta hasi den bigarrenak irabazten du normalean, erreproduzitzen zailak diren moduetan.

Instalatu zure banaketak onartzen dituen paketeak eta eskatu profila operadoreari. Tratatu kredentzialtzat, normalean gako pribatu bat edo baliokide den materiala izaten baitu, eta gorde zure gainerako sekretuak bizi diren lekuan. Deskarga-karpeta batean utzitako profila mahaigainean utzitako gako bat da.

Zer egiaztatu igota dagoenean baina funtzionatzen ez duenean

Interfazea igota eta bezeroak arrakasta jakinarazten duenean, egin kanpora: ibilbide-taulak helmugarako tunela aukeratzen du, ebazleak izen pribatuarentzat erantzuten du, eta urruneko aldeak itzulerako bide bat du. Bakoitzak komando bat eta jabe bat ditu.

nmcli connection show --active
nmcli device status
wg show

nmcli erreferentziak egoera- eta konexio-komandoak dokumentatzen ditu multzo osoa behar baduzu. Hemen garrantzitsua dena profil bat aktibo egotearen eta gailu batek trafikoa eramatearen arteko bereizketa da, biak desberdin daitezkeelako.

Konektatu berriro behin kudeatzaile beraren bidez konfigurazioa amaitutzat eman aurretik, eta egiaztatu DNS-k oraindik funtzionatzen duela deskonektatu ondoren. Sare-aldaketa lehen arte baino funtzionatzen ez duen konfigurazioa ez dago amaituta, une honetan soilik funtzionatzen du.