Ubuntu жүктөлүүсүндө OpenVPN: NetworkManager же systemd?

Көпчүлүк колдонмолор бул тандоону сырткы нерсе катары сунушташат: же NetworkManager туннелди көтөрсүн, же systemd үлгүсүн иштетип бүтүрүңүз. Эки жол экрансыз машинада натыйжаны чечкен бир нерсе менен айырмаланат жана анын кайсы курал жаңыраак экенине эч кандай тиешеси жок. NetworkManager сырларды сессия аркылуу ачат; systemd үлгүсүндө ача турган сессия жок. Сырлар менен иштөөсү алдыңыздагы машинага туура келген жолду тандаңыз.

Калганынын баары, маршруттарды орнотуудан кайра туташуу жүрүм-турумуна чейин, ошол биринчи чечимден келип чыгат.

Ачкычтар шакеги — бул эч ким айтпаган айырма

NetworkManager VPN профилине ээ болгондо, сырсөз кирүү ачкычтар шакегинде жашашы мүмкүн, ал колдонуучу киргенде ачылат. Бул ноутбукта жакшы иштейт: адам бар, ачкычтар шакеги ачылат, туннел көтөрүлөт. Көзөмөлсүз жүктөлгөн серверде бир нерсени ача турган эч ким жок, ошондуктан профиль эч качан келбеген сырды күтөт. Туташуу конфигурациялангандай көрүнөт жана эч качан активдешпейт.

systemd үлгүсү бул көйгөйдөн дисктен эсептик дайындар файлын окуу менен качат, бул файлды сиз коргогон нерсеге айландырат. chmod 400 жана root ээлиги — эң аз деңгээл, ал эми файл сиз көзөмөлдөбөгөн камдык көчүрмөлөрдүн жана образдардын шаблондорунун сыртында калышы керек.

VPNди туташууга тиркөө жүктөө кепилдиги эмес

nm-connection-editor ичинде VPNдин ордуна зымдуу же зымсыз туташууну тандаңыз, General өтмөгүн ачыңыз, VPNге автоматтык туташуу параметрин белгилеңиз жана профилге ат бериңиз. Андан кийин негизги туташуу туташкан абалга жеткенде NetworkManager VPNди экинчи даражадагы туташуу катары активдештирет. Бул көз карандылык, өрт дубал эрежеси эмес. Туннел көтөрүлгөнгө чейинки секунддарда пакеттер дагы эле сыртка чыга алат, ал эми ачылбаган сакталган сыр машинаны онсуз онлайнда калтырат.

Эгер талап туннелсиз эч нерсе чыкпашы болсо, аны айтыңыз жана өчүргүч куруңуз, анткени бул жөндөө аны бербейт. Күтүү жана улантууну да текшериңиз, себеби кайра жолунда экинчи даражадагы туташуу кайра бааланат.

systemd үлгүсүнө дал келген файл аты керек

Профилди пакет күткөн клиент каталогуна салыңыз, мисалы /etc/openvpn/client/office.conf, жана ичинен эсептик дайындар файлына auth-user-pass office.cred аркылуу шилтеме жасаңыз. Үлгүнүн аты — кеңейтүүсүз файл аты, ошондуктан openvpn-client@office office.conf файлын окуйт. Аны sudo systemctl enable --now openvpn-client@office менен иштетип, дал келүүнү блогдогу мисалга ишенүүнүн ордуна systemctl cat openvpn-client@office менен ырастаңыз.

Профилдин ичиндеги жолдор профилге эмес, бирдиктин жумуш каталогуна карата чечилет, ошондуктан салыштырмалуу ca же auth-user-pass сабы кол менен текшергенде иштесе да, жүктөө учурунда ишке ашпай калышы мүмкүн. Бирдик табышы керек болгон бардык нерсе үчүн абсолюттук жолдорду колдонуңуз. Андан кийин чыныгы жүктөөдөн кийин journalctl -u openvpn-client@office -b окуңуз; туннелсиз активдүү деп билдирген бирдик адатта ошол журналда жок файлды атайт.

Эскирээк пакеттер башка шаблон атын берет, ошондуктан systemctl list-unit-files 'openvpn*' бул хостто кайсынысы бар экенин чечет.

Кайра туташуу жүрүм-туруму өзүнчө чечим

ping-restart бар профиль туннел кулагандан кийин аны кайра курат, ал эми кайра иштетүү директивасы бар бирдик кызмат деңгээлинде ушуга окшош нерсени кылат. Булар сиз тандаган саясаттар, мураска алган демейки маанилер эмес. Эгер туташуу суроо боюнча гана көтөрүлүшү керек болсо, кайра иштетүү жүрүм-турумун атайын алып салып, себебин жазыңыз. Эгер бирдик тармак колдонууга жарактуу боло электе башталса, ага кайталоо саясаты керек, анткени жүктөө учурундагы бир ийгиликсиз аракет өзү менен өзү кайталанбайт.

Токтотуу да ушунчалык сөзмө-сөз: sudo systemctl disable --now openvpn-client@office иштеп жаткан үлгүнү токтотот жана жүктөө шилтемесин алып салат. Жөн гана өчүрүү туннелди кийинки кайра жүктөөгө чейин иштеп турууга калтырат, бул өчүрүп, интерфейстин жогору бойдон калганын көргөн ар кимди таң калтырат.

Кайра жүктөңүз, анан төрт нерсени ирети менен текшериңиз

Кызматты кайра иштетүү кызматты текшерет; машинаны кайра жүктөө жүктөө жолун текшерет. Кайра жүктөөдөн кийин бирдиктин көтөрүлгөнүн, анан алыскы ички тармакка маршрут бар экенин, анан машина интернетке кайсы даректи сунуштаарын жана акырында аттардын туннель аркылуу чечилерин ырастаңыз. Бир нерсе туура эмес болсо, бул төрт текшерүү ушундай иретте ишке ашпайт, бул биринчи ийгиликсиздикти пайдалуу кылат.

Маршрутсуз активдүү бирдик адатта профиль туташканын, бирок сервер эч кандай маршрут жибербегенин, же маршрут кийин жоголгон интерфейске орнотулганын билдирет. Аттарды издөө иштебеген маршрут туннелдин өзүнө эмес, DNS конфигурациясына көрсөтөт.

Туннел көтөрүлө албаганда эмне болушу керектигин алдын ала чечиңиз. Жөнөкөй туташууга кайтуу — саясат, аны биринчи баштаган менеджерге калтырбастан жазып коюу керек.