Сіздің VPN тек кіруден кейін ғана жұмыс істейді, себебі кілт шоғыры

Сессияңызда жұмыс істейтін профиль жүктелу кезіндегі қызмет емес. Туннельді қай иесі бастайтынын, құпия қайда тұратынын және нақты оқиғаны қалай тексеру керектігін қараңыз.

Пәрмен сіз кірген кезде жұмыс істейді, сондықтан оны іске қосу скриптіне салып, үйге кетесіз. Келесі таңда машина желіде, ал туннель жоқ. Аңыз — жұмыс істейтін шақыру дегеніміз жұмыс істейтін қызмет. Іс жүзінде айырмашылық әдетте екі нәрсенің бірі: профиль жүйеге емес, пайдаланушы сессияңызға тиесілі, немесе құпияны сіз кіргеннен кейін ғана пайда болатын нәрсе ашады. Екеуі де қолмен тексеруде тамаша жұмыс істейді және ешкім қарамайтын дәл сол сәтте сәтсіздікке ұшырайды.

Неліктен кіру оны жұмыс істетеді

Графикалық кіру сессия шинасын және құпия қызметінің агентін бастайды, және көптеген жұмыс үстеліне бағытталған клиенттер профиль құпиясөзін немесе жеке кілттің құпиясөзін дәл сонда сақтайды. Кіруден кейін пайдаланушыңыз ретінде жұмыс істейтін белсендіру сол агенттен құпияны сұрап, сәтті бола алады. Жүктелу бірлігі орындайтын дәл сол белсендірудің сессиясы, шинасы және агенті жоқ, сондықтан іздеу сәтсіз болады немесе ешкім көрмейтін сұраныста бөгеледі.

Сол профильді кіруге дейін және кейін іске қосыңыз — бір конфигурациядан екі түрлі нәтиже аласыз. Бұл бұзылған туннельдің емес, тіркелгі деректеріне тәуелділіктің белгісі және терминалдағы қолмен тексеру көрінгеннен аз дәлелдейтінін түсіндіреді. Туннель дұрыс; оның құпиясын ашатын нәрсе жетіспейді.

Туннельді қай иесі бастайтынын шешіңіз

Екі қолдау көрсетілетін үлгі бар, ал оларды араластыру — бұның сәтсіз болуының екінші жолы. NetworkManager жүйелік деңгейдегі қосылымды белсендіре алады, бұл машина өз желісін сол жерде орталықтандырған кезде орынды. Немесе арнайы systemd бірлігі VPN-ді тікелей іске қосады және интерфейстің өзіне иелік етеді.

systemctl list-unit-files 'openvpn*'
systemctl list-unit-files 'wg-quick*'
nmcli connection show --active
systemctl enable --now wg-quick@wg0

Бір конфигурацияға екі иесін де іске қоспаңыз. Егер NetworkManager интерфейсті басқарса және бірлік оны да көтерсе, олар маршруттар мен DNS үшін таласады, ал нәтижелі күй соңғы болып бітіргенге байланысты.

Құпияны қызмет оқи алатын жерге қойыңыз

Фондық қызмет сұранысқа жауап бере алмайды. Сертификат құпиясөздері, тіркелгі құпиясөздері және сілтеме жасалған аутентификация файлдары — барлығы бірлік адамсыз жете алатын, қызметті іске қосатын тіркелгіге тиесілі және қалғандарға оқылмайтын сақтау тәртібін қажет етеді.

Азғырарлық қысқа жол — рұқсат қатесі жоғалғанша файлды бәріне оқылатын ету. Бұл іске қосу сәтсіздігін тіркелгі деректерінің ұзақ әшкереленуіне айырбастайды және бұл ешкім қайта қарамайтын өзгеріс түрі. Орналастыру сенетін механизмді пайдаланыңыз: шектеулі тіркелгі деректері файлы, файл рұқсаттарымен қорғалған шифрланбаған кілт немесе өз құпия қоймасы бар жүйелік деңгейдегі қосылым.

Шын мәнінде болатын оқиғаны тексеріңіз

Кіруден кейін қызметті қолмен іске қосу дерлік ештеңені тексермейді. Қайта жүктеңіз немесе бір циклге графикалық кіруді өшіріңіз және бірліктің өздігінен көтерілуін бақылаңыз. Бұл тіркелгі деректерінің қолжетімділігін, желінің дайындығын және бірліктер ретін бірге тексеретін жалғыз тест. Бұл сондай-ақ пайдаланушы хабарлаған сәтсіздікті қайта шығаратын тест, оны қолмен іске қосу ешқашан жасамайды.

systemctl is-enabled wg-quick@wg0
journalctl -u wg-quick@wg0 -b --no-pager
systemctl status systemd-networkd-wait-online --no-pager

Рет тіркелгі деректері сияқты маңызды. Негізгі жоғары буын конфигурацияланбай тұрып басталатын бірлік бас тартады, ал кейбір дистрибутивтер байланысты күте ме, жоқ па — сол жағынан ерекшеленеді. Егер бірлік жүктелуде сәтсіздік хабарлап, бірақ отыз секундтан кейін қолмен іске қосқанда сәтті болса, сіз құпия емес, рет мәселесін таптыңыз.

Тек интерфейсті емес, маршруттар мен DNS-ті тексеріңіз

Бар интерфейс жұмыс істейтін туннель емес. Қадағалаусыз іске қосудан кейін атты тексермес бұрын маршруттарды, шешуші күйін және мекенжай бойынша бір межені тексеріңіз. Содан кейін туннель үшін бар қолданбаны тексеріңіз.

ip -4 route show
resolvectl status
ping -c 3 10.61.0.1
curl -sS --max-time 5 https://internal.example/ -o /dev/null -w '%{http_code}\n'

Егер мекенжай жұмыс істесе ал ат жұмыс істемесе, қалған мәселе — DNS саясаты, туннель емес. Қай иесі қызметті бастайтынын және құпия қайда тұратынын жазып қойыңыз, өйткені бұл машинаны келесі қайта жүктейтін адамға екі дерек қажет болады.

Қатысты мақалалар