Wat der eins bart as jo in VPN op Linux starte

Druk op ferbine en trije dingen feroarje op in Linux-masine: in ynterface ferskynt, rûtes wurde ynstallearre en de resolver begjint oars te antwurdzjen. De measte ynstellingsflaters komme derfan dat ien fan dy trije sûnder de oaren bart, of fan twa programma's dy't it net iens binne oer wa't se besit. De folchoarder begripe ferklearret de flater flugger as it lêzen fan 'e logboekútfier fan in klant.

In ynterface ferskynt foardat eat wurket

In tunnelklant iepenet in firtuele ynterface en jout pakketten dêroan. In TUN-apparaat ferfiert IP-pakketten, dat is wat in rûtearre VPN nedich hat; in TAP-apparaat ferfiert Ethernet-frames, dat is wat in brêge-ûntwerp nedich hat. De kearnmodyl leveret it apparaat, en de klant besit it salang't de sesje duorret.

Dat de ynterface omheech komt is net itselde as in wurkjende tunnel. Hy kin bestean mei in adres wylst de partner net berikber is, en dêrom is de ynterfacelist de earste kontrôle en net de lêste. In apparaat dat himsels omheech meldt, beskriuwt de werjefte fan 'e kearn fan in firtuele ferbining, net de reeheids fan 'e partner om te antwurdzjen.

Lit de levere ynterfacemodus gewurde. In TUN-profyl omsette nei TAP makket fan in rûtearre server gjin brêge-server, en it liedt meast ta in ferbining dy't ta stân komt en neat trochjout.

Rûtes wurde ynstallearre troch wa't de tunnel besit

Rûtes binne de twadde feroaring, en har eigendom is wichtiger as har ynhâld. In NetworkManager-profyl, in systemd-ienheid en in mei de hân starte klant kinne allegear rûtes ynstallearje, en as twa fan har dat tagelyk dogge, ûntstiet in tabel dy't nimmen letter ferklearje kin.

ip -br addr show
ip route show
ip -6 route show

In foltunnelprofyl ferfangt de standertrûte; in splitstunnelprofyl foeget mear spesifike rûtes ta en lit de standert gewurde. Beide binne normaal, en it twadde is de reden wêrom't it wiskjen fan in standertrûte in minne earste test is op in masine dy't jo op ôfstân beheare. It fuortheljen is ek de fluchste manier om de sesje te ferliezen dy't jo brûke om it probleem op te lossen.

Lês de tabel ynstee fan oan te nimmen. In mear spesifike rûte of in beliedsregel kin ferkear de tunnel yn stjoere wylst de standertrûte noch nei de fysike ynterface wiist, wat tsjinstridich liket oant jo de hiele tabel lêze. Dy kombinaasje is normaal foar splitstunnel en ferbjusterjend foar elkenien dy't ferwachtet dat ien rigel it ûntwerp beskriuwt. Sykje de rûte dy't by jo wiere bestimming past, net dy't by it diagram past.

De resolver feroaret fan hannen

DNS is de tredde feroaring en de iene dy't it meast wierskynlik earne beheard wurdt dêr't jo net sjoen hawwe. Op in buroblêd kin NetworkManager resolver-ynstellingen per ferbining trochjaan. Op in systeem dat systemd-resolved brûkt, wurde de ynstellingen per keppeling tapast en /etc/resolv.conf kin in stub of in symboalyske keppeling wêze ynstee fan in bestân dat jo bewurkje moatte.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

As in hânmjittige bewurking fan it resolverbestân nei in werferbining ferdwynt, is dat it sinjaal om it komponint te finen dat it ûnderhâldt en ynstee it profyl te feroarjen. It generearre bestân bewurkje is in feroaring dy't in werferbining útfeielet.

Priveenammen hawwe meast de ynterne resolver nedich en de sykdomeinen dy't de operator levere hat. It ferfangen troch in iepenbiere resolver kin krekt de boarne stikken meitsje wêrfoar't de VPN bestiet, en it symptoom liket op in rûteflater en net op in DNS-flater. Test de namme en it adres apart, want ien dy't wurket en de oare dy't mislearret fertelt jo krekt wêr't jo sjen moatte. Dy iene ferliking sparret in oere rûtedebuggen.

Ien behearder per ferbining

It profylformaat beslút hokker programma it brûke kin. In OpenVPN-profyl hat OpenVPN of in kompatibele plugin nedich, en in WireGuard-konfiguraasje hat syn eigen formaat mei partnersleutels en tastiene foarheaksels. In ymportdialooch oersetet it iene net yn it oare, wat de bestânsextinsje ek seit.

Kies ien behearder en lit dy de ferbining besitte. Deselde tunnel troch twa ark omheech bringe makket de rûtetabel en it werferbiningsgedrach dûbelsinnich, en de twadde dy't start wint meast op manieren dy't dreech wer te meitsjen binne.

Ynstallearje de pakketten dy't jo distribúsje stipet en helje it profyl by de operator. Behannelje it as in bewiis fan identiteit, want it befettet meast in priveesleutel of lykweardich materiaal, en bewarje it dêr't de rest fan jo geheimen wennet. In profyl dat yn in downloadmap efterlitten wurdt is in sleutel dy't op in buro efterlitten wurdt.

Wat te kontrolearjen as it omheech is mar net wurket

Mei de ynterface omheech en de klant dy't súkses meldt, wurkje nei bûten: kiest de rûtetabel de tunnel foar de bestimming, antwurdet de resolver foar de priveenamme, en hat de oare kant in weromwei. Elk hat in apart kommando en in aparte eigner.

nmcli connection show --active
nmcli device status
wg show

De nmcli-referinsje dokumintearret de status- en ferbiningskommando's as jo de folsleine set nedich hawwe. Wat hjir fan belang is, is it ferskil tusken in aktyf profyl en in apparaat dat ferkear ferfiert, want de twa kinne faninoar ôfwike.

Ferbyn jo ien kear opnij fia deselde behearder foardat jo de ynstelling klear neame, en kontrolearje dat DNS noch wurket nei in ôfbrekking. In konfiguraasje dy't allinnich oant de earste netwurkferoaring wurket is net klear, hy wurket op dit stuit gewoan.