Ubuntu жүктелуінде OpenVPN: NetworkManager әлде systemd пе?

Көптеген нұсқаулықтар бұл таңдауды сыртқы нәрсе ретінде ұсынады: не NetworkManager туннельді көтерсін, не systemd данасын қосып, бітіріңіз. Екі жол экрансыз машинада нәтижені шешетін бір нәрсемен ерекшеленеді және оның қай құрал жаңарақ екеніне қатысы жоқ. NetworkManager құпияларды сессия арқылы ашады; systemd данасының ашатын сессиясы жоқ. Құпиялармен жұмысы алдыңыздағы машинаға сай келетін жолды таңдаңыз.

Қалғанының бәрі, маршруттарды орнатудан қайта қосылу мінезіне дейін, сол бірінші шешімнен туындайды.

Кілттер шоғыры — бұл ешкім айтпайтын айырмашылық

NetworkManager VPN профиліне ие болғанда, құпия сөз кіру кілттер шоғырында тұра алады, ол пайдаланушы кіргенде ашылады. Бұл ноутбукта жақсы жұмыс істейді: адам бар, кілттер шоғыры ашылады, туннель көтеріледі. Қадағалаусыз жүктелетін серверде бірдеңе ашатын ешкім жоқ, сондықтан профиль ешқашан келмейтін құпияны күтеді. Қосылым конфигурацияланған болып көрінеді және ешқашан белсендірілмейді.

systemd данасы бұл мәселеден дискіден тіркелгі деректері файлын оқу арқылы жалтарады, бұл файлды сіз қорғайтын нәрсеге айналдырады. chmod 400 және root иелігі — ең аз шарт, ал файл сіз бақыламайтын сақтық көшірмелер мен бейне үлгілерінің сыртында қалуы керек.

VPN-ді қосылымға тіркеу жүктелу кепілдігі емес

nm-connection-editor ішінде VPN орнына сымды немесе сымсыз қосылымды таңдаңыз, General қойындысын ашыңыз, VPN-ге автоматты қосылу опциясын белгілеңіз және профильге ат қойыңыз. Содан кейін негізгі қосылым қосылған күйге жеткенде NetworkManager VPN-ді қосымша қосылым ретінде белсендіреді. Бұл тәуелділік, өрт сөндіру қабырғасының ережесі емес. Туннель көтерілгенге дейінгі секундтарда пакеттер әлі де сыртқа шыға алады, ал ашылмаған сақталған құпия машинаны онсыз желіде қалдырады.

Егер талап туннельсіз ешнәрсе шықпауы болса, соны айтыңыз және өшіргіш жасаңыз, өйткені бұл параметр оны бермейді. Күту және жалғастыруды да тексеріңіз, себебі қайтар жолда қосымша қосылым қайта бағаланады.

systemd данасына сәйкес келетін файл аты қажет

Профильді пакет күтетін клиент каталогына салыңыз, мысалы /etc/openvpn/client/office.conf, және ішінен тіркелгі деректері файлына auth-user-pass office.cred арқылы сілтеме жасаңыз. Дана аты — кеңейтімсіз файл аты, сондықтан openvpn-client@office office.conf файлын оқиды. Оны sudo systemctl enable --now openvpn-client@office арқылы қосыңыз және сәйкестікті блоктағы мысалға сенудің орнына systemctl cat openvpn-client@office арқылы растаңыз.

Профиль ішіндегі жолдар профильдің емес, бірліктің жұмыс каталогына қатысты шешіледі, сондықтан салыстырмалы ca немесе auth-user-pass жолы қолмен тексергенде жұмыс істесе де, жүктелу кезінде сәтсіз болуы мүмкін. Бірлік табуы тиіс барлық нәрсе үшін абсолютті жолдарды қолданыңыз. Содан кейін нақты жүктелуден кейін journalctl -u openvpn-client@office -b оқыңыз; туннельсіз белсенді деп хабарлаған бірлік әдетте сол журналда жетіспейтін файлды атайды.

Ескірек пакеттер басқа үлгі атын береді, сондықтан systemctl list-unit-files 'openvpn*' бұл хостта қайсысы бар екенін шешеді.

Қайта қосылу мінезі — бөлек шешім

ping-restart бар профиль туннель құлағаннан кейін оны қайта салады, ал қайта іске қосу директивасы бар бірлік қызмет деңгейінде ұқсас нәрсе жасайды. Бұл — сіз таңдайтын саясаттар, мұраға алатын әдепкі мәндер емес. Егер қосылым тек сұраныспен көтерілуі керек болса, қайта іске қосу мінезін әдейі алып тастап, себебін жазыңыз. Егер бірлік желі пайдалануға жарамды болмай тұрып басталса, оған қайталау саясаты қажет, өйткені жүктелу кезіндегі бір сәтсіз әрекет өздігінен қайталанбайды.

Тоқтату да дәл сондай: sudo systemctl disable --now openvpn-client@office істеп тұрған дананы тоқтатады және жүктелу сілтемесін жояды. Тек өшіру туннельді келесі қайта жүктеуге дейін жұмыс істеп тұруға қалдырады, бұл өшіріп, интерфейстің жоғары қалатынын көретін әркімді таңқалдырады.

Қайта жүктеңіз, содан кейін төрт нәрсені ретімен тексеріңіз

Қызметті қайта іске қосу қызметті тексереді; машинаны қайта жүктеу жүктелу жолын тексереді. Қайта жүктеуден кейін бірліктің көтерілгенін, содан кейін қашықтағы ішкі желіге маршрут бар екенін, содан кейін машина интернетке қандай мекенжай ұсынатынын және соңында аттардың туннель арқылы шешілетінін растаңыз. Бірдеңе дұрыс болмаса, осы төрт тексеру дәл осы ретпен сәтсіз болады, бұл бірінші сәтсіздікті пайдалы етеді.

Маршрутсыз белсенді бірлік әдетте профиль қосылғанын, бірақ сервер ешбір маршрут жібермегенін, немесе маршрут кейін жоғалған интерфейске орнатылғанын білдіреді. Атауларды іздеу жұмыс істемейтін маршрут туннельдің өзіне емес, DNS конфигурациясына нұсқайды.

Туннель көтеріле алмағанда не болуы керегін алдын ала шешіңіз. Қарапайым қосылымға қайта оралу — саясат, оны бірінші бастаған менеджерге қалдырмай, жазып қою керек.