VPN-ið þitt virkar aðeins eftir innskráningu vegna lyklahringsins

Skipunin virkar þegar þú ert innskráður, svo þú setur hana í ræsiþjónustu og ferð heim. Næsta morgun er vélin á netinu og göngin ekki. Goðsögnin er að virkt kall sé virk þjónusta. Í reynd er munurinn venjulega annað af tvennu: prófíllinn tilheyrir notendalotunni þinni frekar en kerfinu, eða leyndarmálið er opnað af einhverju sem er aðeins til eftir að þú skráir þig inn. Bæði virka fullkomlega í handvirkri prófun og mistakast nákvæmlega á þeirri stundu sem enginn fylgist með.

Hvers vegna innskráning gerir það virkt

Myndræn innskráning ræsir lotubundna rás og umboðsmann leyndarmálaþjónustu, og þangað geyma margir skjáborðsmiðaðir biðlarar lykilorð prófílsins eða lykilsetningu einkalykilsins. Virkjun sem keyrir sem þinn notandi eftir innskráningu getur beðið þann umboðsmann um leyndarmálið og náð árangri. Sama virkjun sem eining við ræsingu framkvæmir hefur enga lotu, enga rás og engan umboðsmann, svo leitin mistekst eða stöðvast á beiðni sem enginn sér.

Keyrðu sama prófíl fyrir og eftir innskráningu og þú færð tvenns konar útkomu úr einni uppsetningu. Það er einkenni skírteinisbundinnar ósjálfstæðis, ekki bilaðra ganga, og skýrir hvers vegna handvirk prófun í skjáhermi sannar minna en virðist. Göngin eru í lagi; það sem opnar leyndarmál þeirra vantar.

Ákveddu hvaða eigandi ræsir göngin

Það eru tvö studd mynstur, og að blanda þeim er hin leiðin sem þetta mistekst. NetworkManager getur virkjað tengingu á kerfisstigi, sem hentar þegar vélin hefur þegar miðlægt netkerfi sitt þar. Að öðrum kosti keyrir sérstök systemd eining VPN-ið beint og á tengið sjálft.

systemctl list-unit-files 'openvpn*'
systemctl list-unit-files 'wg-quick*'
nmcli connection show --active
systemctl enable --now wg-quick@wg0

Ekki keyra báða eigendurna á móti einni uppsetningu. Ef NetworkManager stýrir tenginu og eining ræsir það líka, munu þau berjast um slóðir og DNS, og afleidda ástandið fer eftir því hver kláraði síðast.

Setja leyndarmálið þar sem þjónusta getur lesið það

Bakgrunnsþjónusta getur ekki svarað beiðni. Lykilsetningar skírteina, lykilorð reikninga og tilvísanir í auðkenningarskrár þurfa öll slíka geymslu sem einingin nær án manns, sem er í eigu reikningsins sem keyrir þjónustuna og ólæsileg öllum öðrum.

Freistandi flýtileiðin er að gera skrána læsilega fyrir alla þar til leyfisvillan hverfur. Það skiptir á ræsingarbilun fyrir langvarandi afhjúpun skírteinis og er sú tegund breytingar sem enginn fer aftur í. Notaðu aðferðina sem uppsetningin treystir þegar: takmörkuð skírteinisskrá, ódulkóðaður lykill sem er varinn af skráarleyfum, eða tenging á kerfisstigi með eigin leyndarmálageymslu.

Prófaðu atburðinn sem raunverulega á sér stað

Að ræsa þjónustuna handvirkt eftir innskráningu prófar næstum ekkert. Endurræstu, eða slökktu á myndrænni innskráningu í eina lotu, og fylgstu með einingunni rísa af sjálfu sér. Það er eina prófunin sem þjálfar skírteinisaðgengi, netvirkni og röð eininga samtímis. Það er líka prófunin sem endurgerir bilunina sem notandinn tilkynnti, sem handvirk ræsing gerir aldrei.

systemctl is-enabled wg-quick@wg0
journalctl -u wg-quick@wg0 -b --no-pager
systemctl status systemd-networkd-wait-online --no-pager

Röðin skiptir jafn miklu máli og skírteinin. Eining sem byrjar áður en undirliggjandi uppstreymistenging er uppsett gefst upp, og sumar dreifingar eru mismunandi að því hvort þær bíða eftir nettengingu. Ef einingin tilkynnir bilun við ræsingu en nær árangri þegar hún er ræst handvirkt þrjátíu sekúndum síðar, hefur þú fundið röðunarvandamál en ekki leyndarmálsvandamál.

Sannprófaðu slóðir og DNS, ekki bara tengið

Tengi sem er til er ekki virk göng. Eftir ræsingu án eftirlits skaltu athuga slóðir, ástand leysandans og einn áfangastað eftir vistfangi áður en þú athugar nafn. Athugaðu svo forritið sem göngin eru til fyrir.

ip -4 route show
resolvectl status
ping -c 3 10.61.0.1
curl -sS --max-time 5 https://internal.example/ -o /dev/null -w '%{http_code}\n'

Ef vistfangið virkar og nafnið ekki, er eftirstandandi vandamál DNS-stefna en ekki göngin. Skráðu hvaða eigandi ræsir þjónustuna og hvar leyndarmálið býr, því næsta manneskja sem endurræsir þessa vél þarf bæði staðreyndirnar.