OpenVPN við ræsingu á Ubuntu: NetworkManager eða systemd?

Flestar leiðbeiningar kynna valið sem snyrtilegt atriði: annaðhvort læturðu NetworkManager reisa göngin eða þú virkjar systemd-tilvik og er þá búið. Leiðirnar tvær eru ólíkar að einu sem ræður úrslitum á vél án skjás, og það hefur ekkert með það að gera hvort tólið er nýrra. NetworkManager opnar leyndarmál í gegnum setu; systemd-tilvik hefur enga setu til að opna. Veldu þá leið sem meðferð leyndarmála passar við vélina fyrir framan þig.

Allt annað, frá uppsetningu leiða til hegðunar við endurtengingu, leiðir af þeirri fyrstu ákvörðun.

Lykilhringurinn er munurinn sem enginn nefnir

Þegar NetworkManager á VPN-snið getur lykilorðið búið í innskráningarlykilhringnum, sem er opnaður þegar notandi skráir sig inn. Það virkar vel á fartölvu: manneskjan er viðstödd, lykilhringurinn opnast, göngin rísa. Á þjóni sem ræsist án eftirlits er enginn til að opna neitt, svo sniðið bíður leyndarmáls sem kemur aldrei. Tengingin virðist stillt og virkjast aldrei.

systemd-tilvikið forðast það vandamál með því að lesa skilríkjaskrá af diski, sem gerir skrána að því sem þú verndar. chmod 400 auk eignarhalds roots er lágmarkið, og skráin ætti að vera utan afrita og myndsniðmáta sem þú stjórnar ekki.

Að tengja VPN við tengingu er ekki ræsingarágátt

Í nm-connection-editor skaltu velja snúrutengingu eða þráðlausa tengingu í stað VPN, opna General-flipann, haka við valinu að tengjast VPN sjálfkrafa og nefna sniðið. NetworkManager virkjar þá VPN sem aukatengingu þegar aðaltengingin nær tengdri stöðu. Það er háð, ekki eldveggjarregla. Pakkar geta enn farið út á þeim sekúndum sem líða þar til göngin rísa, og geymt leyndarmál sem tekst ekki að opna skilur vélina á netinu án þess.

Ef krafan er sú að ekkert fari út án ganganna skaltu segja það og byggja rofa, því þessi stilling veitir engan. Prófaðu líka svæfingu og vekingu, þar sem aukatengingin er endurmetin á leiðinni til baka.

systemd-tilvikið þarf skráarnafn sem passar

Setja sniðið í biðlaraskrá sem pakkinn væntir, til dæmis /etc/openvpn/client/office.conf, og vísaðu innan úr henni á skilríkjaskrána með auth-user-pass office.cred. Heiti tilviksins er skráarnafnið án viðskeytisins, svo openvpn-client@office les office.conf. Virkjaðu það með sudo systemctl enable --now openvpn-client@office og staðfestu vörpunina með systemctl cat openvpn-client@office í stað þess að treysta dæmi frá bloggi.

Slóðir innan sniðsins eru leystar miðað við vinnuskrá einingarinnar, ekki sniðið sjálft, svo hlutfallsleg ca eða auth-user-pass lína getur mistekist við ræsingu þótt hún virki þegar þú prófar handvirkt. Notaðu algera slóðir fyrir allt sem einingin þarf að finna. Lestu svo journalctl -u openvpn-client@office -b eftir raunverulega ræsingu; eining sem tilkynnir virkni án ganga nefnir yfirleitt skrá sem vantar í þeirri skrá.

Eldri pakkar senda annað sniðmátsheiti, svo systemctl list-unit-files 'openvpn*' ákveður hvert þeirra er til á þessum vélarhúsnæði.

Hegðun við endurtengingu er sérstök ákvörðun

Snið með ping-restart endurreisir göngin eftir að þau falla, og eining með endurræsingarfyrirmæli gerir eitthvað svipað á þjónustustigi. Það eru stefnur sem þú velur, ekki sjálfgefin gildi sem þú erfir. Ef tengingin á aðeins að rísa eftir þörfum skaltu fjarlægja endurræsingarhegðunina viljandi og skrifa niður hvers vegna. Ef einingin byrjar áður en netið er nothæft þarf hún stefnu um endurtekningu, því ein misheppnuð tilraun við ræsingu endurtekur sig ekki sjálf.

Stöðvun er jafn bókstafleg: sudo systemctl disable --now openvpn-client@office stöðvar tilvikið sem er í gangi og fjarlægir ræsingartengilinn. Að slökkva eitt og sér lætur göngin ganga þar til næsta endurræsing, sem kemur á óvart hverjum þeim sem prófar með því að slökkva og horfa á viðmótið vera áfram uppi.

Endurræstu og athugaðu síðan fjóra hluti í röð

Endurræsing þjónustunnar prófar þjónustuna; endurræsing vélarinnar prófar ræsingarleiðina. Eftir endurræsinguna skaltu staðfesta að einingin hafi risið, síðan að leið sé til fyrir fjarlæga undirnetið, síðan hvaða vistfang vélin sýnir internetinu, og að lokum að nöfn leysist í gegnum göngin. Þessar fjórar athuganir mistakast í þeirri röð þegar eitthvað er að, sem gerir fyrstu mistökin að gagnlegu.

Eining sem er virk án leiðar þýðir yfirleitt að sniðið tengdist en þjónninn ýtti engri leið, eða að leiðin var sett á viðmót sem hvarf síðar. Leið án vinnandi nafnaleitar bendir á DNS-stillingar frekar en göngin sjálf.

Ákveddu fyrirfram hvað eigi að gerast þegar göngin geta ekki risið. Að falla aftur á venjulega nettengingu er stefna, og hana ætti að skrifa niður frekar en að láta þann stjórnanda sem byrjaði fyrst um hana.