Ինչ է իրականում տեղի ունենում, երբ Linux-ում միացնում եք VPN

Սեղմեք միացնել, և Linux մեքենայում երեք բան փոխվում է՝ ինտերֆեյս է հայտնվում, ուղիներ են տեղադրվում, և լուծիչը սկսում է այլ կերպ պատասխանել։ Կարգավորման խափանումների մեծ մասը գալիս է նրանից, որ այդ երեքից մեկը տեղի է ունենում առանց մյուսների, կամ երկու ծրագիր չեն համաձայնում, թե ով է տիրապետում դրանց։ Հաջորդականությունը հասկանալը խափանումը բացատրում է ավելի արագ, քան հաճախորդի մատյանի ելքը կարդալը։

Ինտերֆեյսը հայտնվում է նախքան որևէ բանի աշխատելը

Թունելի հաճախորդը բացում է վիրտուալ ինտերֆեյս և դրան փոխանցում փաթեթներ։ TUN սարքը կրում է IP փաթեթներ, ինչը պետք է երթուղավորված VPN-ին, TAP սարքը կրում է Ethernet շրջանակներ, ինչը պետք է կամրջային նախագծին։ Միջուկի մոդուլը տրամադրում է սարքը, և հաճախորդը տիրապետում է դրան այնքան, որքան տևում է նստաշրջանը։

Ինտերֆեյսի բարձրանալը նույնը չէ, ինչ թունելի աշխատելը։ Այն կարող է գոյություն ունենալ հասցեով, մինչ գործընկերը հասանելի չէ, և դրա համար էլ ինտերֆեյսների ցանկը առաջին ստուգումն է, ոչ վերջինը։ Սարքը, որը հայտնում է, թե բարձրացած է, նկարագրում է միջուկի պատկերացումը վիրտուալ կապի մասին, ոչ գործընկերի պատրաստակամությունը պատասխանելու։

Թողեք տրված ինտերֆեյսի ռեժիմը ինչպես կա։ TUN պրոֆիլը TAP դարձնելը երթուղավորված սերվերը կամրջային չի դարձնում, և սովորաբար ստացվում է միացում, որը հաստատվում է և ոչինչ չի փոխանցում։

Ուղիները տեղադրում է նա, ով տիրապետում է թունելին

Ուղիները երկրորդ փոփոխությունն են, և դրանց սեփականությունը ավելի կարևոր է, քան բովանդակությունը։ NetworkManager պրոֆիլը, systemd միավորը և ձեռքով գործարկված հաճախորդը բոլորը կարող են ուղիներ տեղադրել, և երբ դրանցից երկուսը դա անում են միաժամանակ, ստացվում է աղյուսակ, որը հետագայում ոչ ոք չի կարող բացատրել։

ip -br addr show
ip route show
ip -6 route show

Լրիվ թունելի պրոֆիլը փոխարինում է լռելյայն ուղին, բաժանված թունելի պրոֆիլը ավելացնում է ավելի կոնկրետ ուղիներ և լռելյայնը թողնում է ինչպես կա։ Երկուսն էլ նորմալ են, և երկրորդն է պատճառը, թե ինչու լռելյայն ուղին ջնջելը վատ առաջին փորձարկում է հեռավար կառավարվող մեքենայի վրա։ Այն հեռացնելը նաև ամենաարագ միջոցն է կորցնելու այն նստաշրջանը, որն օգտագործում եք խնդիրը շտկելու համար։

Կարդացեք աղյուսակը, ոչ թե ենթադրեք։ Ավելի կոնկրետ ուղին կամ քաղաքականության կանոնը կարող է երթևեկությունը ուղարկել թունել, մինչ լռելյայն ուղին դեռ մատնանշում է ֆիզիկական ինտերֆեյսին, ինչը հակասական է թվում, մինչև չկարդաք ամբողջ աղյուսակը։ Այդ համակցությունը նորմալ է բաժանված թունելի համար և շփոթեցնող է նրա համար, ով սպասում է, որ մեկ տողը կնկարագրի նախագիծը։ Փնտրեք այն ուղին, որը համապատասխանում է ձեր իրական նպատակակետին, ոչ թե այն, որը համապատասխանում է դիագրամին։

Լուծիչը ձեռքեր է փոխում

DNS-ը երրորդ փոփոխությունն է և այն, որն ամենահավանական է, որ կառավարվում է մի տեղ, որտեղ դուք չեք նայել։ Սեղանադիր համակարգչում NetworkManager-ը կարող է լուծիչի կարգավորումները փոխանցել յուրաքանչյուր միացման համար։ systemd-resolved օգտագործող համակարգում կարգավորումները կիրառվում են յուրաքանչյուր կապի համար, և /etc/resolv.conf-ը կարող է լինել խցան կամ խորհրդանշական հղում, ոչ թե ֆայլ, որը պետք է խմբագրեք։

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Եթե լուծիչի ֆայլի ձեռքով խմբագրումը անհետանում է վերամիացումից հետո, դա ազդանշան է գտնել այն բաղադրիչը, որը պահպանում է այն, և փոխարենը փոխել պրոֆիլը։ Ստեղծված ֆայլը խմբագրելը փոփոխություն է, որը վերամիացումը կջնջի։

Մասնավոր անունները սովորաբար պահանջում են ներքին լուծիչը և օպերատորի տրամադրած որոնման դոմենները։ Հանրային լուծիչով փոխարինելը կարող է կոտրել հենց այն ռեսուրսը, որի համար գոյություն ունի VPN-ը, և ախտանիշը նման է երթուղավորման խափանման, ոչ DNS-ի։ Փորձարկեք անունը և հասցեն առանձին, որովհետև մեկի աշխատելը և մյուսի ձախողվելը ձեզ ճշգրիտ ասում է, թե ուր նայել։ Այդ մեկ համեմատությունը խնայում է ուղիների կարգաբերման մեկ ժամ։

Մեկ կառավարիչ յուրաքանչյուր միացման համար

Պրոֆիլի ձևաչափը որոշում է, թե որ ծրագիրը կարող է օգտագործել այն։ OpenVPN պրոֆիլին պետք է OpenVPN կամ համատեղելի հավելում, իսկ WireGuard կարգավորումն ունի իր ձևաչափը գործընկերի բանալիներով և թույլատրված նախածանցներով։ Ներմուծման երկխոսությունը մեկը մյուսի չի թարգմանում, ինչ էլ որ հուշի ֆայլի ընդլայնումը։

Ընտրեք մեկ կառավարիչ և թողեք, որ այն տիրապետի միացմանը։ Նույն թունելը երկու գործիքով բարձրացնելը երկիմաստ է դարձնում ուղիների աղյուսակը և վերամիացման վարքը, և սովորաբար հաղթում է երկրորդը, որը սկսում է, դժվար վերարտադրվող ձևերով։

Տեղադրեք ձեր տարածման կողմից աջակցվող փաթեթները և պրոֆիլը ստացեք օպերատորից։ Վերաբերվեք դրան որպես հավատարմագրի, որովհետև այն սովորաբար պարունակում է մասնավոր բանալի կամ համարժեք նյութ, և պահեք այնտեղ, որտեղ ապրում են ձեր մնացած գաղտնիքները։ Ներբեռնումների պանակում թողնված պրոֆիլը սեղանին թողնված բանալի է։

Ինչ ստուգել, երբ այն բարձրացած է, բայց չի աշխատում

Երբ ինտերֆեյսը բարձրացած է և հաճախորդը հաջողություն է հաղորդում, աշխատեք դեպի դուրս՝ արդյոք ուղիների աղյուսակը թունելն է ընտրում նպատակակետի համար, արդյոք լուծիչը պատասխանում է մասնավոր անվանը, և արդյոք հակառակ կողմն ունի վերադարձի ուղի։ Յուրաքանչյուրն ունի առանձին հրաման և առանձին տեր։

nmcli connection show --active
nmcli device status
wg show

nmcli-ի տեղեկատուն փաստագրում է կարգավիճակի և միացման հրամանները, եթե ձեզ պետք է ամբողջ հավաքածուն։ Այստեղ կարևորը պրոֆիլի ակտիվ լինելու և երթևեկություն կրող սարքի տարբերությունն է, որովհետև երկուսը կարող են հակասել։

Մինչև կարգավորումը ավարտված համարելը մեկ անգամ վերամիացեք նույն կառավարիչով, և ստուգեք, որ DNS-ը դեռ աշխատում է անջատումից հետո։ Կարգավորումը, որն աշխատում է միայն մինչև ցանցի առաջին փոփոխությունը, ավարտված չէ, այն պարզապես աշխատում է այս պահին։