თქვენი VPN მხოლოდ შესვლის შემდეგ მუშაობს გასაღებების რგოლის გამო

ბრძანება მუშაობს, როცა შესული ხართ, ამიტომ მას გაშვების სკრიპტში დებთ და სახლში მიდიხართ. მეორე დილით მანქანა ონლაინ არის, გვირაბი კი არა. მითი ისაა, რომ მომუშავე გამოძახება მომუშავე სერვისია. პრაქტიკაში განსხვავება ჩვეულებრივ ორიდან ერთია: პროფილი თქვენს მომხმარებლის სესიას ეკუთვნის და არა სისტემას, ან საიდუმლოს ხსნის ის, რაც მხოლოდ თქვენი შესვლის შემდეგ არსებობს. ორივე სრულყოფილად მუშაობს ხელით ტესტში და მარცხდება ზუსტად იმ მომენტში, როცა არავინ უყურებს.

რატომ იწვევს შესვლა მუშაობას

გრაფიკული შესვლა იწყებს სესიის ავტობუსს და საიდუმლოების სერვისის აგენტს, და სწორედ იქ ინახავს ბევრი სამუშაო მაგიდაზე ორიენტირებული კლიენტი პროფილის პაროლს ან პირადი გასაღების პაროლფრაზას. გააქტიურებას, რომელიც შესვლის შემდეგ თქვენი მომხმარებლის სახელით მუშაობს, შეუძლია საიდუმლო სთხოვოს ამ აგენტს და წარმატებას მიაღწიოს. იმავე გააქტიურებას, რომელსაც ჩატვირთვის ერთეული ასრულებს, არ აქვს სესია, ავტობუსი და აგენტი, ამიტომ ძიება მარცხდება ან იბლოკება მოთხოვნაზე, რომელსაც არავინ ხედავს.

გაუშვით იგივე პროფილი შესვლამდე და შემდეგ და ერთი კონფიგურაციიდან ორ განსხვავებულ შედეგს მიიღებთ. ეს არის რწმუნებულებაზე დამოკიდებულების ნიშანი და არა გატეხილი გვირაბის, და განმარტავს, რატომ ამტკიცებს ტერმინალში ხელით ტესტი ნაკლებს, ვიდრე ჩანს. გვირაბი რიგზეა; აკლია ის, რაც მის საიდუმლოს ხსნის.

გადაწყვიტეთ, რომელი მფლობელი იწყებს გვირაბს

არსებობს ორი მხარდაჭერილი ნიმუში და მათი შერევა ამ მარცხის მეორე გზაა. NetworkManager-ს შეუძლია სისტემური დონის კავშირის გააქტიურება, რაც მიზანშეწონილია, როცა მანქანა უკვე იქ ცენტრალიზებს თავის ქსელს. ალტერნატივად, გამოყოფილი systemd ერთეული VPN-ს პირდაპირ უშვებს და თავად ფლობს ინტერფეისს.

systemctl list-unit-files 'openvpn*'
systemctl list-unit-files 'wg-quick*'
nmcli connection show --active
systemctl enable --now wg-quick@wg0

ნუ გაუშვებთ ორივე მფლობელს ერთი კონფიგურაციის წინააღმდეგ. თუ NetworkManager მართავს ინტერფეისს და ერთეული მასაც ასწევს, ისინი მარშრუტებისა და DNS-ის გამო იჩხუბებენ, და შედეგად მიღებული მდგომარეობა დამოკიდებულია იმაზე, რომელმაც ბოლო დაასრულა.

დადეთ საიდუმლო იქ, სადაც სერვისი წაიკითხავს

ფონური სერვისი ვერ უპასუხებს მოთხოვნას. სერთიფიკატის პაროლფრაზები, ანგარიშის პაროლები და მითითებული ავთენტიფიკაციის ფაილები ყველა საჭიროებს ისეთ შენახვის მოწყობას, რომელსაც ერთეული ადამიანის გარეშე მიაღწევს, ეკუთვნის სერვისის გამშვებ ანგარიშს და სხვა ყველასთვის წაუკითხავია.

მაცდური მოკლე გზაა ფაილის ყველასთვის წაკითხვადი გახდე, სანამ ნებართვის შეცდომა გაქრება. ეს ჩატვირთვის მარცხს ცვლის რწმუნებულების ხანგრძლივ გამჟღავნებაზე, და ეს ისეთი ცვლილებაა, რომელსაც არავინ აღარ უბრუნდება. გამოიყენეთ ის მექანიზმი, რომელსაც განლაგება უკვე ენდობა: შეზღუდული რწმუნებულების ფაილი, ფაილის ნებართვებით დაცული დაშიფვრადი გასაღები, ან სისტემური დონის კავშირი საკუთარი საიდუმლოების საწყობით.

შეამოწმეთ მოვლენა, რომელიც ნამდვილად ხდება

სერვისის ხელით გაშვება შესვლის შემდეგ თითქმის არაფერს ამოწმებს. გადატვირთეთ, ან ერთი ციკლით გამორთეთ გრაფიკული შესვლა, და ნახეთ, როგორ ადის ერთეული თავისით. ეს ერთადერთი ტესტია, რომელიც ერთდროულად ამოწმებს რწმუნებულების ხელმისაწვდომობას, ქსელის მზადყოფნას და ერთეულების რიგს. ეს ასევე ის ტესტია, რომელიც ამრავლებს მომხმარებლის მიერ მოხსენებულ მარცხს, რასაც ხელით გაშვება არასოდეს აკეთებს.

systemctl is-enabled wg-quick@wg0
journalctl -u wg-quick@wg0 -b --no-pager
systemctl status systemd-networkd-wait-online --no-pager

რიგი ისეთივე მნიშვნელოვანია, როგორც რწმუნებულები. ერთეული, რომელიც იწყება მანამ, სანამ ძირითადი აღმავალი კავშირი კონფიგურირდება, დანებდება, და ზოგიერთი დისტრიბუტივი განსხვავდება იმით, ელოდება თუ არა კავშირს. თუ ერთეული ჩატვირთვისას მარცხს იუწყება, მაგრამ წარმატებას აღწევს, როცა ოცდაათი წამის შემდეგ ხელით უშვებთ, თქვენ იპოვეთ რიგის პრობლემა და არა საიდუმლოს პრობლემა.

შეამოწმეთ მარშრუტები და DNS, და არა მხოლოდ ინტერფეისი

არსებული ინტერფეისი მომუშავე გვირაბი არ არის. უყურადღებო გაშვების შემდეგ შეამოწმეთ მარშრუტები, ამომხსნელის მდგომარეობა და ერთი დანიშნულება მისამართით, სანამ სახელს შეამოწმებთ. შემდეგ შეამოწმეთ ის აპლიკაცია, რომლისთვისაც გვირაბი არსებობს.

ip -4 route show
resolvectl status
ping -c 3 10.61.0.1
curl -sS --max-time 5 https://internal.example/ -o /dev/null -w '%{http_code}\n'

თუ მისამართი მუშაობს და სახელი არა, დარჩენილი პრობლემა DNS პოლიტიკაა და არა გვირაბი. ჩაიწერეთ, რომელი მფლობელი იწყებს სერვისს და სად ცხოვრობს საიდუმლო, რადგან ამ მანქანის ხელახლა ჩამტვირთავ შემდეგ ადამიანს ორივე ფაქტი დასჭირდება.