Linux жүйесінде VPN іске қосқанда шын мәнінде не болады

Қосылу түймесін басыңыз, Linux машинасында үш нәрсе өзгереді: интерфейс пайда болады, маршруттар орнатылады және шешуші басқаша жауап бере бастайды. Конфигурация сәтсіздіктерінің көбі осы үшеуінің бірі қалғандарынсыз орын алғаннан немесе екі бағдарлама олардың кімге тиесілі екені туралы келіспейтіндіктен болады. Реттілікті түсіну сәтсіздікті клиент журналының шығысын оқығаннан гөрі жылдамырақ түсіндіреді.

Интерфейс бірдеңе жұмыс істеуінен бұрын пайда болады

Туннель клиенті виртуалды интерфейс ашады және оған пакеттерді береді. TUN құрылғысы IP пакеттерін тасиды, бұл маршрутталған VPN-ге қажет; TAP құрылғысы Ethernet кадрларын тасиды, бұл көпірлік дизайнға қажет. Ядро модулі құрылғыны ұсынады, ал сессия жалғасқанша клиент оған иелік етеді.

Интерфейстің көтерілуі туннельдің жұмыс істеуімен бірдей емес. Серіктес қолжетімсіз болғанда да ол мекенжаймен бірге болуы мүмкін, сондықтан интерфейстер тізімі бірінші тексеріс, соңғы емес. Өзін көтерілген деп хабарлайтын құрылғы ядроның виртуалды байланысқа көзқарасын сипаттайды, серіктестің жауап беруге дайындығын емес.

Берілген интерфейс режимін сол күйінде қалдырыңыз. TUN профилін TAP-қа өзгерту маршрутталған серверді көпірлік серверге айналдырмайды және әдетте қосылатын, бірақ ештеңе жібермейтін байланыс жасайды.

Маршруттарды туннельге иелік ететін адам орнатады

Маршруттар — екінші өзгеріс, және олардың меншігі мазмұнынан маңыздырақ. NetworkManager профилі, systemd бірлігі және қолмен іске қосылған клиент бәрі маршрут орната алады, ал олардың екеуі мұны бір уақытта жасаса, кейін ешкім түсіндіре алмайтын кесте пайда болады.

ip -br addr show
ip route show
ip -6 route show

Толық туннель профилі әдепкі маршрутты алмастырады; бөлінген туннель профилі нақтырақ маршруттарды қосады және әдепкіні сол күйінде қалдырады. Екеуі де қалыпты, ал екіншісі қашықтан басқарылатын машинада әдепкі маршрутты жою нашара бірінші тексеріс екенін түсіндіреді. Оны жою мәселені түзету үшін пайдаланып жатқан сессиядан айырылудың да ең жылдам жолы.

Болжам жасамай, кестені оқыңыз. Нақтырақ маршрут немесе саясат ережесі трафикті туннельге жібере алады, ал әдепкі маршрут әлі физикалық интерфейсті көрсетіп тұрады, бұл бүкіл кестені оқығанша қайшы көрінеді. Бұл үйлесім бөлінген туннель үшін қалыпты және дизайнды бір жолмен сипаттайды деп күтетін адамды шатастырады. Нақты межелі орныңызға сәйкес келетін маршрутты іздеңіз, диаграммаға сәйкес келетінін емес.

Шешуші қол ауыстырады

DNS — үшінші өзгеріс және қарамаған жерде басқарылуы ықтимал. Жұмыс үстелінде NetworkManager шешуші параметрлерін әр қосылым үшін жібере алады. systemd-resolved қолданатын жүйеде параметрлер әр байланыс үшін қолданылады және /etc/resolv.conf түпнұсқа немесе символдық сілтеме болуы мүмкін, өңдеуіңіз керек файл емес.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Егер шешуші файлына қолмен енгізілген өзгеріс қайта қосылғаннан кейін жоғалса, бұл оны ұстап тұрған компонентті тауып, оның орнына профильді өзгерту керек деген белгі. Жасалған файлды өңдеу — қайта қосу жоятын өзгеріс.

Жеке атаулар әдетте ішкі шешушіге және оператор берген іздеу домендеріне мұқтаж. Оны жария шешушімен алмастыру VPN өмір сүріп жатқан ресурстың дәл өзін бұзуы мүмкін, ал симптом DNS ақауы емес, маршруттау ақауына ұқсайды. Атау мен мекенжайды бөлек тексеріңіз, өйткені бірі жұмыс істеп, екіншісі сәтсіз болса, қайда қарау керегін нақты айтады. Сол бір салыстыру маршрутты жөндеудің бір сағатын үнемдейді.

Әр қосылымға бір менеджер

Профиль пішімі қай бағдарламаның оны қолдана алатынын анықтайды. OpenVPN профиліне OpenVPN немесе үйлесімді плагин қажет, ал WireGuard конфигурациясының серіктес кілттері мен рұқсат етілген префикстері бар өз пішімі бар. Файл кеңейтімі не десе де, импорт терезесі бірін екіншісіне аудармайды.

Бір менеджер таңдап, қосылым соған тиесілі болсын. Сол туннельді екі құрал арқылы көтеру маршрут кестесі мен қайта қосылу әрекетін екіұшты етеді, ал әдетте екіншісі басталған қайталауға қиын жолдармен жеңеді.

Таратылымыңыз қолдайтын пакеттерді орнатып, профильді оператордан алыңыз. Оны тіркелгі деректері ретінде қарастырыңыз, өйткені ол әдетте жеке кілт немесе оған балама материалдан тұрады, және оны басқа құпияларыңыз тұратын жерде сақтаңыз. Жүктеулер қалтасында қалдырылған профиль үстелде қалдырылған кілт.

Көтерілген, бірақ жұмыс істемей тұрғанда нені тексеру керек

Интерфейс көтеріліп, клиент сәттілік туралы хабарлағанда, сыртқа қарай жүріңіз: маршрут кестесі межелі орын үшін туннельді таңдай ма, шешуші жеке атауға жауап бере ме және қарсы жақта қайту жолы бар ма. Әрқайсысының бөлек пәрмені және бөлек иесі бар.

nmcli connection show --active
nmcli device status
wg show

nmcli анықтамалығы толық жиынтық керек болса, күй және қосылым пәрмендерін құжаттайды. Мұнда маңыздысы — профильдің белсенді болуы мен құрылғының трафикті тасуы арасындағы айырмашылық, өйткені екеуі қайшы келуі мүмкін.

Конфигурацияны аяқталды деп атамас бұрын сол менеджер арқылы бір рет қайта қосылыңыз және ажыратылғаннан кейін DNS әлі жұмыс істейтінін тексеріңіз. Тек желінің бірінші өзгерісіне дейін жұмыс істейтін конфигурация аяқталмаған, ол тек қазір жұмыс істеп тұр.