OpenVPN by it opstarten op Ubuntu: NetworkManager of systemd?

De measte hantliedingen presintearje de kar as kosmetysk: lit NetworkManager de tunnel omheech bringe, of aktivearje in systemd-eksimplaar en klear. De twa paden ferskille yn ien ding dat de útkomst op in masine sûnder skerm bepaalt, en it hat neat te meitsjen mei hokker helpmiddel nijer is. NetworkManager ûntslút geheimen fia in sesje; in systemd-eksimplaar hat gjin sesje om te ûntsluten. Kies dy't de omgong mei geheimen past by de masine foar jo.

Al it oare, fan rûteynstallaasje oant werferbinen, folget út dat earste beslút.

De kaairing is it ferskil dat nimmen neamt

Wannear't NetworkManager in VPN-profyl besit, kin it wachtwurd yn ’e oanmeld-kaairing wêze, dy't ûntsletten wurdt as in brûker oanmeldt. Dat wurket goed op in laptop: de persoan is der, de kaairing iepenet, de tunnel komt omheech. Op in server dy't sûnder tafersjoch opstartet is der nimmen om wat te ûntsluten, dat it profyl wachtet op in geheim dat nea komt. De ferbining liket konfigurearre en aktivearret nea.

It systemd-eksimplaar mijt dat probleem troch in bewiisbestân fan ’e skiif te lêzen, wat it bestân it ding makket dat jo beskermje. chmod 400 plus eigendom troch root is it minimum, en it bestân moat bûten backups en byldsjabloanen bliuwe dy't jo net beheare.

It VPN oan in ferbining keppelje is gjin opstartgarânsje

Kies yn nm-connection-editor de betriedde of draadleaze ferbining ynstee fan it VPN, iepenje it General-ljep, set it flachje by de opsje om automatysk mei in VPN te ferbinen en jou it profyl in namme. NetworkManager aktivearret dan it VPN as sekondêre ferbining wannear't de primêre in ferbûne steat berikt. Dat is in ôfhinklikens, gjin firewall-regel. Pakketten kinne noch altyd fuortgean yn ’e sekonden foardat de tunnel omheech is, en in bewarre geheim dat net ûntsletten wurdt lit de masine online sûnder it.

As de eask is dat neat sûnder de tunnel fuortgiet, sis dat dan en bou in kill switch, want dizze ynstelling sil der gjin ien leverje. Test ek sliep en weromkommen, om't de sekondêre ferbining op ’e weromweis op ’e nij beoardiele wurdt.

It systemd-eksimplaar hat in bestânsnamme nedich dy't past

Set it profyl yn ’e kliïntmap dy't it pakket ferwachtet, lykas /etc/openvpn/client/office.conf, en ferwize fan binnenút nei it bewiisbestân mei auth-user-pass office.cred. De eksimplaarnamme is de bestânsnamme sûnder de efterheaksel, dus openvpn-client@office lêst office.conf. Aktivearje it mei sudo systemctl enable --now openvpn-client@office en befêstigje de keppeling mei systemctl cat openvpn-client@office ynstee fan in foarbyld fan in blog te fertrouwen.

Paden yn it profyl wurde relatyf oan ’e wurkmap fan ’e ienheid oplost, net oan it profyl sels, dus in relative ca- of auth-user-pass-rigel kin by it opstarten mislearje wylst it wurket as jo it mei de hân testen. Brûk absolute paden foar alles wat de ienheid fine moat. Lês dan journalctl -u openvpn-client@office -b nei in echte opstart; in ienheid dy't aktyf rapportearret sûnder tunnel neamt meastentiids in ûntbrekkend bestân yn dat loch.

Aldere pakketten leverje in oare sjabloannamme, dus systemctl list-unit-files 'openvpn*' beslút hokker op dizze host bestiet.

Werferbiningsgedrach is in apart beslút

In profyl mei ping-restart bout de tunnel op ’e nij nei't er falt, en in ienheid mei in werstartdirektive docht wat ferlykbers op tsjinstnivo. Dat binne beliedsregels dy't jo kieze, gjin standertwearden dy't jo ervje. As de ferbining allinnich op oanfraach omheech moat, ferwiderje it werstartgedrach bewust en skriuw op wêrom. As de ienheid start foardat it netwurk brûkber is, hat se in belied foar opnij besykjen nedich, want ien mislearre besykjen by it opstarten werhellet himsels net.

Stoppen is like letterlik: sudo systemctl disable --now openvpn-client@office stopet it rinnende eksimplaar en ferwideret de opstartkeppeling. Allinnich útskeakelje lit de tunnel rinne oant de folgjende werstart, wat elkenien ferrast dy't testet troch út te skeakeljen en te sjen dat de ynterface omheech bliuwt.

Werstart, en kontrolearje dan fjouwer dingen yn folchoarder

De tsjinst werstarten testet de tsjinst; de masine werstarten testet it opstartpaad. Befêstigje nei de werstart dat de ienheid omheech kaam, dan dat der in rûte foar it fiere subnet is, dan hokker adres de masine oan it ynternet presintearret, en úteinlik dat nammen troch de tunnel oplost wurde. Dy fjouwer kontrôles mislearje yn dy folchoarder as der wat mis is, wat de earste mislearring de nuttige makket.

In ienheid dy't aktyf is sûnder rûte betsjut meastentiids dat it profyl ferbûn is mar de server gjin rûte stjoerd hat, of dat de rûte ynstallearre waard op in ynterface dy't letter ferdwûn. In rûte sûnder wurkjende nammesyklje wiist nei DNS-konfiguraasje ynstee fan nei de tunnel sels.

Beslis foarôf wat der barre moat as de tunnel net omheech komme kin. Weromfalle op gewoane ferbining is in belied, en it moat opskreaun wurde ynstee fan oerlitten te wurden oan hokker behearder dan ek dy't earst starte.