tun réamhchruthaithe in OpenVPN: an dá mhúnla úinéireachta a chur i gcomparáid

Chruthaigh duine tun1 roimh ré, deir an phróifíl dev tun1, agus ní cheanglaíonn an nasc fós. Ní deir aon rud beagnach go bhfuil an t-ainm ar an óstach, mar braitheann an ceangal ar an spás ainmneacha, ar chineál na feiste, ar cé atá ina úinéir ar an nasc agus ar cad a cheadaítear don daemon. Cuireann athúsáid feiste iallach freisin ar chinneadh a fholaíonn an chumraíocht réamhshocraithe: cén chomhpháirt a scríobhann na seoltaí agus na bealaí. Tá módanna teipe an dá shocrú i bhfad níos éagsúla ná na línte cumraíochta, mar sin déan cinneadh sula n-athraítear próifíl.

Ní ceangal é ainm

Iarrann dev tun1 ar OpenVPN an comhéadan ainmnithe sin, agus déanfaidh builteanna traidisiúnta spáis úsáideora iarracht é a oscailt. Mura leanann an t-ainm an gnáthphatrún tun nó tap, teastaíonn dev-type comhfhreagrach ón bpróifíl freisin, mar ní dhéantar an cineál a thuiscint ó theaghrán riamh. Ní feiste TUN le lipéad eile í feiste TAP: teipeann ar an bhfeiste mhícheart a cheangal go hiomlán, nó cruthaítear nasc a iompraíonn frámaí nach mbíonn súil ag aon duine leo. Seiceáil an cineál sula ndéantar aon rud eile, mar glacann gach seiceáil ina dhiaidh sin go n-aontaíonn an dá thaobh faoi. Uaidh sin, deimhnigh gur féidir leis an bpróiseas an fheiste a oscailt i ndáiríre, ní amháin í a fheiceáil.

dev tun1
dev-type tun

Is rudaí difriúla iad an comhéadan líonra agus /dev/net/tun: is nasc laistigh de spás ainmneacha ceann acu, agus is é an ceann eile an fheiste charachtar a úsáideann clár spáis úsáideora chun ceangal. Déanann doiciméadú Linux TUN/TAP cur síos ar an gcosán ceangail sin agus ar na rialacha úinéireachta do fheistí marthanacha. Ní chruthaíonn blaosc root ar féidir léi ip link a rith ach go bhfuil pribhléidí ag an mblaosc, ní go bhfuil siad ag an daemon. Úinéireacht an nóid feiste, tacar cumais an tseirbhíse agus an t-úsáideoir faoina ritheann sé caithfidh siad uile teacht le chéile sula n-éiríonn leis an oscailt.

Is fadhb úinéireachta é feiste a bhíonn ann agus nach féidir a oscailt, ní fadhb ródaithe. Caith léi mar sin agus tú ag dífhabhtú, nó téann an tráthnóna ag léamh táblaí ródaithe nach raibh mar fhadhb riamh.

Cé a chumraíonn an nasc: dhá mhúnla úinéireachta

Sa chéad mhúnla cumraíonn OpenVPN seoltaí agus bealaí mar chuid de thógáil an naisc. Sin an t-iompar réamhshocraithe agus an ceann is éasca le réasúnaíocht, mar cruthaíonn comhpháirt amháin an staid agus baineann sí arís í. Sa dara múnla bíonn bainisteoir seachtrach ina úinéir ar an gcomhéadan, agus stopann ifconfig-noexec OpenVPN óna chuid orduithe cumraíochta seolta a rith agus tugann sé na paraiméadair do scripteanna ina ionad. Ansin caithfidh an bainisteoir an chumraíocht áitiúil agus an chumraíocht phiara cheart a chur i bhfeidhm é féin, rud is mó oibre ná mar a thugann ainm an rogha le tuiscint. Is ceist í an rogha idir an dá rud faoi cé a fhéadfaidh an nasc a athrú agus é in airde.

Ní chlúdaíonn ifconfig-noexec ach seoltaí: fanann an tábla ródaithe gan teagmháil, agus baineann cumraíocht bealaí le route-noexec. Caith leis an dá threoir mar rialtáin ar leith le húinéirí ar leith, mar is foinse choitianta nasc leathchumraithe é ceann a shocrú agus an ceann eile a ghlacadh. Roghnaigh úinéir amháin go beacht in aghaidh an tsraithe, seoltaí in aon áit amháin agus bealaí in aon áit amháin. Is é bainisteoir líonra agus cúntóir VPN araon ag scríobh seoltaí an bealach a scriosann dínascadh staid a bhfuil an taobh eile fós ag brath uirthi.

Scrúdaigh an fheiste ón spás ainmneacha a bhfuil tábhacht leis

Scrúdaigh an fheiste ón spás ainmneacha ina ritheann an próiseas VPN, ní ón gceann a mbíonn do bhlaosc ann de thimpiste. Freagraíonn an dá ordú thíos ceisteanna difriúla, agus tagann an difríocht chun solais nuair a fheiceann óstach comhéadan nach bhfeiceann coimeádán. Rith iad san ord a thugtar, mar ní bhíonn ciall leis an dara ceann go dtí go mbeidh a fhios agat an bhfuil an nasc ann ar chor ar bith.

ip -details link show dev tun1
ip tuntap show

Priontálann an chéad ordú an nasc mar a fheiceann an t-eithne é, lena n-áirítear bratacha agus cineál an chomhéadain, agus is mar sin a dheimhníonn tú gurb í seo an fheiste a bhí i gceist agat. Liostaíonn an dara ceann iontrálacha marthanacha tun/tap, a bhíonn ann gan aon phróiseas á gcoinneáil. Is staid dhifriúil é comhéadan a bhíonn ag fanacht lena úinéir beartaithe ná tollán beo atá ceangailte le VPN eile, agus ní mhíníonn ach an dara ceann cén fáth a dteipeann ar do cheangal féin. Faigh an próiseas a choinníonn an fheiste sula n-athraítear aon rud, mar tá réitigh dhifriúla ag iontráil mharthanach agus ag comhéadan gnóthach.

Is socrú tiománaí ar leith é tacaíocht ilseicheamh le ceanglais dá chuid féin, ní cead do phróisis neamhghaolmhara comhéadan amháin a roinnt. Is fadhb chomhordaithe é seisiún beo úinéara eile, agus ní réitíonn aon athrú próifíle í.

Dhá chineál mharthanachta

Déanann marthanacht an eithne agus persist-tun cur síos ar shaolréanna is furasta a chumasc agus is costasaí a mheascadh. Bíonn feiste mharthanach ann go neamhspleách ar aon phróiseas, mar sin maireann sí stop agus is féidir an chéad tús eile a athúsáid. Coinníonn persist-tun acmhainní thar athshocruithe boga tacaithe laistigh d'aon phróiseas OpenVPN amháin, léas i bhfad níos giorra. Ní gheallann ceachtar acu go bhfágtar bealaí agus seoltaí ina n-áit nuair a stoptar an tseirbhís, agus ní cruthúnas ar sheisiún criptithe oibre é comhéadan a fhanann infheicthe.

Deimhnigh an cúlchiste freisin, mar ní deir comhéadan réamhchruthaithe aon rud faoin gcur i bhfeidhm a osclóidh é. Déanfaidh builteanna pobail a iompraíonn an cosán sonraí díreach iarracht é a úsáid mura ndeir an dearadh a mhalairt. San áit a dtacaíonn an leagan leis an lasc, roghnaíonn disable-dco cosán spáis úsáideora ina ionad; níl a leithéid de threoir ag innill níos sine ná ag cliaint eile, mar sin coinnigh coinníoll an leagain in aice na rogha seachas glacadh leis go mbaineann sé.

Cad a bhriseann nuair nach ndéantar tástáil ach ar an tús

Is féidir le comhaontú úinéireachta an chéad tástáil a rith agus teip ar an gceann deireanach, rud a fhágann gur drochsheiceáil í an tús ann féin. Breathnaigh ar dhá aistriú ina ionad: athshocrú bog, agus stop iomlán a leanann tús.

systemctl status openvpn-client@lab
ip -details link show dev tun1

Is é an tús an cás éasca: tagann an t-aonad aníos, tagann an nasc chun solais agus ainmníonn aschur an staid an phróifíl a lódáladh. Is é an ceangal an nóiméad a osclaíonn an daemon an fheiste, mar sin rith an tseiceáil nisc tar éis don aonad a bheith gníomhach a thuairisciú, ní roimhe. Má tá an nasc ann agus an staid fós ag gníomhú, tá feiste mharthanach á féachaint agat nach bhfuil aon duine ceangailte léi fós, ní tollán oibre. Cuir trácht fíor tríd an nasc sula dtéann tú ar aghaidh, mar is teip fós é comhéadan ceangailte gan bealach inúsáidte.

kill -SIGHUP $(pidof openvpn)
journalctl -u openvpn-client@lab -n 40
systemctl stop openvpn-client@lab
ip -details link show dev tun1

Ba chóir d'athshocrú bog an seisiún a fhágáil inúsáidte agus na hacmhainní slán, agus sin an obair a dhéanann persist-tun. Is é an stop iomlán an áit a nochtann bainisteoir seachtrach é féin: má mhaireann an nasc nó a sheoltaí an stop, tá siad ag duine éigin eile, agus is é sin an staid a dhoiciméadaigh tú nó an fabht a fuair tú díreach. Taifead an dá bhreathnóireacht in aice na próifíle, ionas go dtosóidh an chéad athrú eile ó fhianaise seachas ó léaráid.