Teipeann ar iompórtáil i NetworkManager le comhaid OpenVPN agus WireGuard

Roghnaigh mé Iompórtáil ó chomhad… i Socruithe GNOME, roghnaigh mé próifíl a oibríonn le cliant an tsoláthraí, agus dhún an dialóg gan aon rud a chur leis an liosta. Ar an dara ríomhaire glúine críochnaíodh an iompórtáil, tháinig an nasc chun solais faoi ainm na próifíle, agus ansin theip air ag an gcéad iarratas fíordheimhniúcháin. Ní ritheann NetworkManager do chomhad .ovpn nó wg-quick mar atá riamh. Tugann sé an comhad do pharsálaí, casann an parsálaí é go formáid naisc NetworkManager féin, agus as sin amach tógtar an tollán ón réad parsáilte sin — rúin, bealaí, DNS agus gach rud. Mar sin ní hé an cheist úsáideach cén fáth a bhfuil an comhad briste, ach ar tharla an pharsáil agus cad a choinnigh sí.

Cad a dhéanann an iompórtáil leis an gcomhad i ndáiríre

Do OpenVPN, tá an parsálaí sa phacáiste breiseáin, agus díríonn an nasc a chruthaíonn sé ar sheirbhís D-Bus mar org.freedesktop.NetworkManager.openvpn. Gan breiseán, gan parsálaí: níl an cineál ar eolas ag nmcli, agus b'fhéidir nach dtaispeánfadh an liosta grafach chun VPN a chur leis aon iontráil iompórtála ar chor ar bith. Tá WireGuard difriúil i bpointe tábhachtach amháin — tá a shocruithe WireGuard féin ag NetworkManager ón tsraith 1.30, mar sin níl aon phacáiste breiseáin ar leith ann, ach ní bhíonn an léitheoir wg-quick ann ach amháin sna buildí a sheolann é.

Cibé scéal é, léitear an comhad uair amháin. Scríobhtar an toradh mar keyfile faoi /etc/NetworkManager/system-connections/, ainmnithe i ndiaidh an naisc, faoi úinéireacht root agus dothuigthe d'úsáideoirí eile toisc go bhfuil an t-ábhar eochrach ann. Sin é an nasc anois; ní athraíonn eagarthóireacht an .ovpn bunaidh ina dhiaidh sin aon rud.

Baineann trí chomhartha le trí chéim éagsúla. Ciallaíonn easpa iontrála iompórtála nó cineál anaithnid go bhfuil an breiseán nó an leagan ar iarraidh. Ciallaíonn earráid iompórtála a ainmníonn treoir gur léigh an parsálaí an comhad agus gur dhiúltaigh sé cuid de. Ciallaíonn nasc atá ann ach nach ngníomhaítear riamh go bhfuil an réad parsáilte neamhiomlán nó go bhfuil an freastalaí ag diúltú dó. Socraigh cén ceann de na trí chás atá agat sula n-eagraíonn tú aon rud.

Deimhnigh an breiseán sula ndéanfaidh tú dífhabhtú ar an bpróifíl

Breiseán atá ar iarraidh amharcann sé go beacht cosúil le próifíl chaimiléireach, mar sin seiceáil an pacáiste ar dtús. Ar Debian agus Ubuntu tagann tacaíocht OpenVPN mar network-manager-openvpn móide cúntóir deisce; ar Fedora is iad na pacáistí NetworkManager-openvpn agus NetworkManager-openvpn-gnome; ar Arch is é networkmanager-openvpn.

dpkg -l network-manager-openvpn-gnome | tail -n 2
rpm -q NetworkManager-openvpn
pacman -Q networkmanager-openvpn

Ansin iompórtáil ó chonair iomlán: nmcli connection import type openvpn file /home/you/profile.ovpn. Oibríonn conairí coibhneasta de ghnáth, ach casann sliogán a d'athraigh eolaire iompórtáil thapa ina chúrsa timpeall. Do WireGuard seiceáil nmcli --version agus déan cinnte go bhfuil taobh an eithne ann le modprobe wireguard; fágann iompórtáil a n-éiríonn leis ar mheaisín gan an modúl tú le nasc nach dtagann a ghléas chun solais riamh. tagairt nmcli doiciméadaíonn an fo-ordú import agus na hainmneacha cineáil a nglactar leo. Má dhiúltaítear do type wireguard go díreach, tá an build níos sine ná an ghné seo, agus is é an chéim cheart pacáiste dáileacháin nó backport — ní hé an chumraíocht a chóipeáil isteach in eolaire treallach ag súil go léifidh rud éigin é.

Léigh nasc OpenVPN, ní an .ovpn

A luaithe atá an nasc ann, léigh na socruithe parsáilte in ionad an comhad a athléamh: nmcli connection show "Work VPN" | grep -E '^vpn\.'. Teastaíonn an remote agus an calafort, an t-iompar, an t-ábhar féiniúlachta — ca, cert, key, tls-auth nó tls-crypt — agus an modh fíordheimhniúcháin uait. I bpróifíl a bhfuil pasfhocal eochrach príobháidí aici, cuir sudo nmcli --show-secrets connection show "Work VPN" leis agus féach ar na secret flags: is é 0 none, mar sin tá an rún sa keyfile; is é 1 agent-owned; is é 2 not-saved, is é sin nach scríobhtar sa keyfile é riamh; is é 4 not-required, is é sin nach bhfuil aon rún ag teastáil ar chor ar bith. Bití iad, ní scála, mar sin is é 3 ach agent-owned móide not-saved. Rún a iarrtar uair amháin in aghaidh an tseisiúin is ea agent-owned (1), agus an gníomhaire á iarraidh; níl aon uimhir bhrataí ar leith dó sin. Is é an mhíréir bhrataí an chúis is gnáth le próifíl a nascadh ón applet deisce agus teip ó script nó ag am tosaithe.

Is é an bealach is tapúla chun a fheiceáil cad a chaith an parsálaí ná iarraidh ar an mbreiseán an comhad a athscríobh agus ansin é a chur i gcomparáid: nmcli connection export "Work VPN" /tmp/roundtrip.ovpn. Ní bheidh na treoracha a imíonn sa diff sin ann ag am an naisc. Is iad na duáin na gnáth-chúisigh — bíonn script-security, up, down agus route-up ag súil le script a rithtear le pribhléidí arda agus ní thugtar ar aghaidh iad d'aon ghnó. Ná hísligh an fhíorú agus ná tabhair pribhléidí breise chun go n-éireoidh le hiompórtáil; léiríonn rogha neamhthacaithe sraith ghnéithe an bhreiseáin de ghnáth seachas freastalaí dorochtana. Bog an t-iompar sin isteach i script dispatcher NetworkManager nó i bpolasaí ar thaobh an fhreastalaí.

Deimhnigh freisin gur mhair na réimsí féiniúlachta: an tagairt CA, remote-cert-tls agus aon tseiceáil ainm a raibh an phróifíl ag brath uirthi. B'fhéidir go bhfuil nasc a éiríonn gan iad ag caint le haon rud a fhreagraíonn ag an seoladh sin.

Léigh nasc WireGuard, ní an comhad wg-quick

Is formáid le séimeantaic sliogáin é comhad wg-quick; is sraith socruithe é an nasc iompórtáilte. Éiríonn PrivateKey ina eochair phríobháideach an chomhéadain, éiríonn Address ina sheoladh IPv4 agus IPv6 amháin nó níos mó, mapáiltear DNS ar airíonna resolver NetworkManager, mapáiltear MTU ar wireguard.mtu (is é 1420 luach réamhshocraithe wg-quick féin), agus éiríonn gach bloc peer ina iontráil peer le heochair phoiblí, endpoint, IPanna ceadaithe agus persistent keepalive. Priontáil an méid a stóráladh le nmcli --show-secrets connection show wg0; mura dtagann an liosta peer chun solais san aschur sin, léigh an keyfile:

sudo sed -n '/^\[wireguard\]/,/^\[/p' /etc/NetworkManager/system-connections/wg0.nmconnection

Is é an rud nach maireann an leath sliogáin de wg-quick. Is iompar an uirlis sin iad PreUp, PostUp, PreDown, PostDown agus Table, ní airíonna comhéadain WireGuard, mar sin ní rithtear iad tar éis iompórtála. Má d'úsáid an bunleagan Table = off chun an bealach réamhshocraithe a fhágáil ina luí, cuireann eisiúintí nua NetworkManager ip4-auto-default-route agus ip6-auto-default-route ar fáil don chuspóir céanna; socraigh go sainráite iad in ionad glacadh leis go n-iompraíonn an nasc mar an script. Teastaíonn an bealach sin ó dhuán a bhrúigh bealach saincheaptha i socruithe ródaithe an naisc, nó beidh sé ar iarraidh.

Tabhair go díreach aon úinéir amháin don nasc

Is é an teip chlasaiceach a leanann ná nasc a oibríonn go dtí an chéad atosú eile agus a théann ansin i lúb. De ghnáth bhí [email protected] fós cumasaithe ó thurgnamh roimhe, nó bhí cliant an tsoláthraí ag seoladh a dhaemon féin, agus bhí beirt úinéirí ag scríobh bealaí agus DNS don sprioc chéanna. Socraíonn NetworkManager an resolver ar a bhealach féin, scríobhann wg-quick trí resolvconf, agus bíonn an scríobhaí deireanach i gceannas — mar sin oibríonn réiteach ainmneacha, ansin stopann sé, ansin oibríonn sé arís. Seiceáil systemctl status wg-quick@wg0, nmcli connection show --active agus ip link show type wireguard, ansin díchumasaigh an dara húinéir in ionad a metric a fhíorú.

Má theastaíonn an dá rud go fírinneach uait, tabhair comhéadain ar leith agus IPanna ceadaithe neamhthrasnaithe dóibh, agus lig d'aon cheann amháin an bealach réamhshocraithe a shuiteáil. Ní split tunnel dhá bhealach réamhshocraithe le metricí éagsúla; is rás é a shocraíonn an tseirbhís a thosaíonn sa dara háit. Agus tar éis athnasc, scrúdaigh an staid fheidhmeach arís — ní cruthúnas é go bhfuil an iompórtáil iomlán go n-oibríonn eagarthóireacht láimhe aonuaire ar an resolver.

Fíoraigh le trácht agus maireann tú atosú

Ardaigh an nasc le nmcli connection up "Work VPN", ansin léigh staid, seoladh agus bealaí in ionad muinín a chur san deilbhín: nmcli device show wg0 | grep -E 'GENERAL.STATE|IP4.ADDRESS|IP4.ROUTE', ip route show default agus fíorfhiosrú ar ainm nach réitítear ach taobh istigh den tollán. Ní chruthaíonn handshake ná ping rathúil ach go n-oibríonn an chripteagrafaíocht; ní deir sé rud ar bith faoi chur ar aghaidh, réimsí split tunnel ná DNS príobháideach, agus is iad na codanna sin a bhristear de ghnáth.

Ansin atosaigh agus déan arís é. Is teipeanna iad iompar autoconnect, comhéadan a athainmníodh agus breiseán a luchtaítear i ndiaidh an ghléis nach bhfeiceann tú ach ar atosú glan. Taispeánann journalctl -u NetworkManager -b --no-pager | tail -n 40 cad a rinne an daemon leis an nasc seo san atosú seo. Don dara ríomhaire, cóipeáil an keyfile agus coinnigh faoi úinéireacht root é le mód 600, nó bain úsáid as nmcli connection export do OpenVPN agus iompórtáil an .ovpn a thagann as arís — níl aon chomhionann WireGuard ag an gconair easpórtála, mar sin is cóip comhaid nó iompórtáil nua ón mbunleagan cosanta an treo sin.

Leagan gearr, in ord: deimhnigh an breiseán nó leagan NetworkManager, iompórtáil ó chonair iomlán, léigh na socruithe parsáilte lena n-áirítear secret flags, cuir easpórtáil OpenVPN i gcomparáid leis an mbunleagan, seiceáil duáin agus bealaí ar thaobh WireGuard, díchumasaigh aon dara húinéir, agus ansin tar éis atosaithe fíoraigh réiteach ainm agus an tábla bealaí. Nuair a théann nasc trí gach rud sin, féadfaidh an comhad próifíle a thosaigh é filleadh ar stóras cosanta.