Сиздин VPN киргенден кийин гана иштейт, себеби ачкыч шакеги

Буйрук сиз киргенде иштейт, ошондуктан аны иштетүү скриптине салып, үйгө кетесиз. Эртеңки таңда машина онлайн, ал эми туннел жок. Уламыш — иштеген чакыруу иштеген кызмат. Иш жүзүндө айырма адатта эки нерсенин бири: профиль системага эмес, колдонуучу сессияңызга таандык, же сырды сиз киргенден кийин гана пайда болгон нерсе ачат. Экөө тең кол менен текшерүүдө эң сонун иштейт жана эч ким карабаган так ошол учурда ишке ашпай калат.

Эмне үчүн кирүү аны иштетет

Графикалык кирүү сессия шинасын жана сыр кызматынын агентин баштайт, жана көптөгөн жумуш үстөлүнө багытталган кардарлар профилдин сырсөзүн же жеке ачкычтын сырсөзүн так ошол жерде сакташат. Кирүүдөн кийин колдонуучуңуз катары иштеген активдештирүү ошол агенттен сырды сурап, ийгиликке жете алат. Жүктөө бирдиги аткарган ошол эле активдештирүүдө сессия, шина жана агент жок, ошондуктан издөө ишке ашпайт же эч ким көрбөгөн сурамда бөгөлүп калат.

Ошол эле профилди кирүүдөн мурун жана кийин иштетиңиз — бир конфигурациядан эки башка натыйжа аласыз. Бул бузулган туннелдин эмес, эсептик маалыматтарга көз карандылыктын белгиси, жана терминалдагы кол менен текшерүү көрүнгөндөн аз далилдешин түшүндүрөт. Туннел жакшы; анын сырын ачкан нерсе жетишпейт.

Туннелди кайсы ээ баштаарын чечиңиз

Эки колдоого алынган үлгү бар, аларды аралаштыруу — бул ишке ашпоонун экинчи жолу. NetworkManager системалык деңгээлдеги туташууну активдештире алат, бул машина өз тармагын ошол жерде борбордоткондо ылайыктуу. Же болбосо, атайын systemd бирдиги VPNди түздөн-түз иштетет жана интерфейстин өзүнө ээлик кылат.

systemctl list-unit-files 'openvpn*'
systemctl list-unit-files 'wg-quick*'
nmcli connection show --active
systemctl enable --now wg-quick@wg0

Бир конфигурацияга эки ээни тең иштетпеңиз. Эгер NetworkManager интерфейсти башкарса жана бирдик аны да көтөрсө, алар маршруттар жана DNS үчүн талашат, ал эми натыйжадагы абал ким акыркы бүткөнгө көз каранды.

Сырды кызмат окуй алган жерге коюңуз

Фондук кызмат сурамга жооп бере албайт. Сертификаттын сырсөздөрү, эсептин сырсөздөрү жана шилтемеленген аутентификация файлдары — баары бирдик адамсыз жете ала турган, кызматты иштеткен эсепке таандык жана калгандар үчүн окулбай турган сактоо тартибин талап кылат.

Азгырган кыска жол — уруксат катасы жоголгонго чейин файлды баарына окулуучу кылуу. Бул иштетүү ишке ашпоосун узак убакытка эсептик маалыматтардын ачылышына алмаштырат жана бул эч ким кайра карабаган өзгөртүү түрү. Жайылтуу ишенген механизмди колдонуңуз: чектелген эсептик маалыматтар файлы, файл укуктары менен корголгон шифрленбеген ачкыч, же өзүнүн сыр кампасы бар системалык деңгээлдеги туташуу.

Чындыгында болгон окуяны текшериңиз

Кирүүдөн кийин кызматты кол менен иштетүү дээрлик эч нерсени текшербейт. Кайра жүктөңүз, же бир циклге графикалык кирүүнү өчүрүңүз жана бирдиктин өзү көтөрүлүшүн байкаңыз. Бул эсептик маалыматтардын жеткиликтүүлүгүн, тармактын даярдыгын жана бирдиктердин тартибин бирге текшерген жалгыз тест. Бул ошондой эле колдонуучу билдирген ишке ашпоону кайра жараткан тест, аны кол менен иштетүү эч качан жасабайт.

systemctl is-enabled wg-quick@wg0
journalctl -u wg-quick@wg0 -b --no-pager
systemctl status systemd-networkd-wait-online --no-pager

Тартип эсептик маалыматтардай эле маанилүү. Негизги жогорку байланыш конфигурацияланганга чейин башталган бирдик баш тартат, ал эми айрым дистрибутивдер байланышты күтөбү же жокпу — ошону менен айырмаланат. Эгер бирдик жүктөөдө ишке ашпоо тууралуу билдирип, бирок отуз секунддан кийин кол менен иштеткенде ийгиликке жетсе, сиз сыр эмес, тартип маселесин таптыңыз.

Интерфейсти гана эмес, маршруттар менен DNSти текшериңиз

Бар интерфейс иштеген туннел эмес. Көзөмөлсүз иштетүүдөн кийин атты текшерүүдөн мурун маршруттарды, чечүүчүнүн абалын жана дарек боюнча бир багытты текшериңиз. Анан туннел үчүн бар колдонмону текшериңиз.

ip -4 route show
resolvectl status
ping -c 3 10.61.0.1
curl -sS --max-time 5 https://internal.example/ -o /dev/null -w '%{http_code}\n'

Эгер дарек иштеп, ат иштебесе, калган маселе — DNS саясаты, туннел эмес. Кайсы ээ кызматты баштаарын жана сыр кайда жашаарын жазып коюңуз, анткени бул машинаны кийинки кайра жүктөгөн адамга эки факты тең керек болот.