OpenVPN-ը Ubuntu-ում բեռնման պահին. NetworkManager թե՞ systemd

Ուղեցույցների մեծ մասը այս ընտրությունը ներկայացնում է որպես կոսմետիկ բան. կամ թողեք NetworkManager-ը բարձրացնի թունելը, կամ միացրեք systemd-ի օրինակը և վերջ։ Երկու ուղիները տարբերվում են մի բանով, որ որոշում է արդյունքը առանց էկրանի մեքենայի վրա, և դա կապ չունի այն բանի հետ, թե որ գործիքն է ավելի նոր։ NetworkManager-ը գաղտնիքները բացում է սեսիայի միջոցով. systemd-ի օրինակը բացելու սեսիա չունի։ Ընտրեք այն, որի գաղտնիքների հետ վարվելը համապատասխանում է ձեր առջևի մեքենային։

Մնացած ամեն ինչ՝ երթուղիների տեղադրումից մինչև վերամիացման վարքը, բխում է այդ առաջին որոշումից։

Բանալիների շարքը հենց այն տարբերությունն է, որի մասին ոչ ոք չի խոսում

Երբ NetworkManager-ը տիրապետում է VPN պրոֆիլին, գաղտնաբառը կարող է ապրել մուտքի բանալիների շարքում, որը բացվում է, երբ օգտատերը մուտք է գործում։ Դա լավ է աշխատում նոթբուքի վրա. մարդը ներկա է, բանալիների շարքը բացվում է, թունելը բարձրանում է։ Առանց հսկողության բեռնվող սերվերի վրա ոչ ոք չկա, որ ինչ-որ բան բացի, ուստի պրոֆիլը սպասում է գաղտնիքի, որը երբեք չի գալիս։ Միացումը կարգավորված է թվում և երբեք չի ակտիվանում։

systemd-ի օրինակը խուսափում է այդ խնդրից՝ սկավառակից կարդալով հավատարմագրերի ֆայլ, ինչը ֆայլը դարձնում է այն, ինչ դուք պաշտպանում եք։ chmod 400-ը գումարած root-ի սեփականությունը նվազագույնն է, և ֆայլը պետք է մնա ձեր չվերահսկած պահուստներից և պատկերների ձևանմուշներից դուրս։

VPN-ը միացմանը կցելը բեռնման երաշխիք չէ

nm-connection-editor-ում VPN-ի փոխարեն ընտրեք լարային կամ անլար միացումը, բացեք General ներդիրը, նշեք ինքնաշխատ VPN-ին միանալու տարբերակը և անվանեք պրոֆիլը։ Այնուհետև NetworkManager-ը VPN-ը ակտիվացնում է որպես երկրորդական միացում, երբ առաջնայինը հասնում է միացված վիճակի։ Դա կախվածություն է, ոչ թե հրամուրի կանոն։ Փաթեթները դեռ կարող են դուրս գալ թունելի բարձրանալուց առաջ ընկած վայրկյաններին, և պահված գաղտնիքը, որը չի բացվում, մեքենան թողնում է առցանց առանց դրա։

Եթե պահանջն այն է, որ առանց թունելի ոչինչ դուրս չգա, ասեք դա և կառուցեք անջատիչ, որովհետև այս կարգավորումը չի տա այն։ Փորձարկեք նաև կասեցումն ու շարունակումը, քանի որ երկրորդական միացումը վերագնահատվում է վերադարձի ճանապարհին։

systemd-ի օրինակին պետք է համընկնող ֆայլի անուն

Տեղադրեք պրոֆիլը այն հաճախորդի թղթապանակում, որը սպասում է փաթեթը, օրինակ՝ /etc/openvpn/client/office.conf, և ներսից հղում արեք հավատարմագրերի ֆայլին auth-user-pass office.cred-ով։ Օրինակի անունը ֆայլի անունն է առանց վերջածանցի, ուստի openvpn-client@office-ը կարդում է office.conf ֆայլը։ Միացրեք այն sudo systemctl enable --now openvpn-client@office-ով և հաստատեք համապատասխանությունը systemctl cat openvpn-client@office-ով՝ բլոգի օրինակին վստահելու փոխարեն։

Պրոֆիլի ներսի ուղիները լուծվում են միավորի աշխատանքային թղթապանակի նկատմամբ, ոչ թե հենց պրոֆիլի, ուստի հարաբերական ca կամ auth-user-pass տողը կարող է ձախողվել բեռնման պահին, մինչդեռ ձեռքով փորձարկելիս աշխատում է։ Օգտագործեք բացարձակ ուղիներ այն ամենի համար, ինչ միավորը պետք է գտնի։ Այնուհետև իրական բեռնումից հետո կարդացեք journalctl -u openvpn-client@office -b-ը. առանց թունելի ակտիվ հաղորդող միավորը սովորաբար այդ մատյանում նշում է բացակայող ֆայլ։

Ավելի հին փաթեթները տալիս են ձևանմուշի այլ անուն, ուստի systemctl list-unit-files 'openvpn*'-ը որոշում է, թե որն է գոյություն ունի այս հոսթում։

Վերամիացման վարքը առանձին որոշում է

ping-restart ունեցող պրոֆիլը վերակառուցում է թունելը ընկնելուց հետո, իսկ վերագործարկման հրահանգ ունեցող միավորը նման բան է անում ծառայության մակարդակում։ Դրանք քաղաքականություններ են, որ դուք եք ընտրում, ոչ թե ժառանգած լռելյայն արժեքներ։ Եթե միացումը պետք է բարձրանա միայն պահանջով, ապա միտումնավոր հեռացրեք վերագործարկման վարքը և գրեք, թե ինչու։ Եթե միավորը մեկնարկում է նախքան ցանցը պիտանի դառնալը, նրան պետք է կրկնակի փորձի քաղաքականություն, քանի որ բեռնման պահին մեկ ձախողված փորձ ինքն իրեն չի կրկնվում։

Կանգնեցնելը նույնքան բառացի է. sudo systemctl disable --now openvpn-client@office-ը կանգնեցնում է ընթացող օրինակը և հեռացնում բեռնման կապը։ Միայն անջատելը թունելը թողնում է աշխատող մինչև հաջորդ վերագործարկումը, ինչը զարմացնում է ամեն ոքի, ով փորձարկում է անջատելով և տեսնում, որ ինտերֆեյսը մնում է բարձր։

Վերագործարկեք, ապա ստուգեք չորս բան հերթականությամբ

Ծառայության վերագործարկումը ստուգում է ծառայությունը. մեքենայի վերագործարկումը ստուգում է բեռնման ուղին։ Վերագործարկումից հետո հաստատեք, որ միավորը բարձրացել է, ապա որ հեռավոր ենթացանցի համար երթուղի կա, ապա թե ինչ հասցե է մեքենան ներկայացնում ինտերնետին, և վերջում որ անունները լուծվում են թունելով։ Այդ չորս ստուգումները ձախողվում են հենց այդ հերթականությամբ, երբ ինչ-որ բան սխալ է, ինչը առաջին ձախողումը դարձնում է օգտակար։

Առանց երթուղու ակտիվ միավորը սովորաբար նշանակում է, որ պրոֆիլը միացել է, բայց սերվերը ոչ մի երթուղի չի ուղարկել, կամ երթուղին տեղադրվել է ինտերֆեյսի վրա, որը հետագայում անհետացել է։ Աշխատող անվանալուծում չունեցող երթուղին մատնանշում է DNS կարգավորումը, ոչ թե հենց թունելը։

Նախապես որոշեք, թե ինչ պետք է պատահի, երբ թունելը չի կարող բարձրանալ։ Սովորական կապին վերադառնալը քաղաքականություն է, և այն պետք է գրի առնվի, փոխանակ թողնվի առաջինը մեկնարկած ցանկացած կառավարչի։