Linux'то VPN иштеткенде чындыгында эмне болот

Туташуу баскычын басыңыз, Linux машинасында үч нерсе өзгөрөт: интерфейс пайда болот, маршруттар орнотулат жана чечүүчү башкача жооп бере баштайт. Конфигурация каталарынын көбү ошол үчөөнүн бири калгандарысыз болгондон же эки программа алардын кимге таандык экенинде макулдашпагандыктан келип чыгат. Ырааттуулукту түшүнүү катаны клиенттин журналынын чыгышын окугандан тезирээк түшүндүрөт.

Интерфейс бир нерсе иштегенге чейин пайда болот

Туннель клиенти виртуалдык интерфейс ачат жана ага пакеттерди берет. TUN түзмөгү IP пакеттерин ташыйт, бул маршрутталган VPN'ге керек; TAP түзмөгү Ethernet кадрларын ташыйт, бул көпүрөлүү долбоорго керек. Ядро модулу түзмөктү берет, жана сессия уланганча клиент ага ээлик кылат.

Интерфейстин көтөрүлүшү туннелдин иштешине барабар эмес. Өнөктөш жеткиликсиз болгондо да ал дарек менен болушу мүмкүн, ошондуктан интерфейстердин тизмеси биринчи текшерүү, акыркы эмес. Өзүн көтөрүлгөн деп билдирген түзмөк ядронун виртуалдык байланышка көз карашын сүрөттөйт, өнөктөштүн жооп берүүгө даярдыгын эмес.

Берилген интерфейс режимин өзүнчө калтырыңыз. TUN профилин TAP'ка өзгөртүү маршрутталган серверди көпүрөлүү кылбайт жана адатта туташып, эч нерсе өткөрбөгөн байланыш пайда кылат.

Маршруттарды туннелге ээлик кылган адам орнотот

Маршруттар — экинчи өзгөрүү, жана алардын ээлиги мазмунунан маанилүү. NetworkManager профили, systemd бирдиги жана кол менен иштетилген клиент баары маршрут орното алат, ал эми алардын экөө муну бир убакта жасаса, кийин эч ким түшүндүрө албаган таблица пайда болот.

ip -br addr show
ip route show
ip -6 route show

Толук туннель профили демейки маршрутту алмаштырат; бөлүнгөн туннель профили такыраак маршруттарды кошот жана демейкини өзүнчө калтырат. Экөө тең кадимки, жана экинчиси алыскы башкарылуучу машинада демейки маршрутту өчүрүү начар биринчи текшерүү экенин түшүндүрөт. Аны алып салуу маселени оңдоо үчүн колдонуп жаткан сессиядан айрылуунун да эң ылдам жолу.

Болжолдоонун ордуна таблицаны окуңуз. Такыраак маршрут же саясат эрежеси трафикти туннелге жөнөтүшү мүмкүн, ал эми демейки маршрут дагы эле физикалык интерфейсти көрсөтүп турат, бул бүт таблицаны окуганга чейин карама-каршы көрүнөт. Бул айкалыш бөлүнгөн туннель үчүн кадимки жана долбоорду бир сап менен сүрөттөйт деп күткөндөрдү адаштырат. Реалдуу бара турган жериңизге дал келген маршрутту издеңиз, диаграммага дал келгенин эмес.

Чечүүчү кол алмаштырат

DNS — үчүнчү өзгөрүү жана карабаган жериңизде башкарылышы ыктымал. Иш столунда NetworkManager чечүүчүнүн жөндөөлөрүн ар бир туташууга жибере алат. systemd-resolved колдонгон системада жөндөөлөр ар бир байланышка колдонулат жана /etc/resolv.conf түпкү же символдук шилтеме болушу мүмкүн, сиз оңдошуңуз керек болгон файл эмес.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Эгер чечүүчүнүн файлына кол менен киргизилген өзгөртүү кайра туташкандан кийин жоголсо, бул аны кармап турган компонентти таап, анын ордуна профилди өзгөртүү керек деген белги. Түзүлгөн файлды оңдоо — кайра туташуу өчүрө турган өзгөртүү.

Жеке аталыштар адатта ички чечүүчүгө жана оператор берген издөө домендерине муктаж. Аны коомдук чечүүчү менен алмаштыруу VPN жашап жаткан ресурсту так өзүн бузушу мүмкүн, ал эми симптом DNS бузулушуна эмес, маршруттоо бузулушуна окшош. Аталыш менен даректи өзүнчө текшериңиз, анткени бири иштеп, экинчиси иштебей калса, кайда кароо керектигин так айтат. Ошол бир салыштыруу маршруттарды оңдоонун бир саатын үнөмдөйт.

Ар бир туташууга бир менеджер

Профилдин форматы кайсы программа аны колдоно аларын аныктайт. OpenVPN профилине OpenVPN же шайкеш плагин керек, ал эми WireGuard конфигурациясынын өнөктөш ачкычтары жана уруксат берилген префикстери бар өз форматы бар. Файлдын кеңейтүүсү эмне дебесин, импорт терезеси бирин экинчисине которбойт.

Бир менеджерди тандап, туташуу ошого таандык болсун. Ошол эле туннелди эки курал аркылуу көтөрүү маршрут таблицасын жана кайра туташуу жүрүм-турумун эки анжы кылат, ал эми адатта экинчи башталганы кайталоо кыйын жолдор менен жеңет.

Таратылышыңыз колдогон пакеттерди орнотуп, профилди оператордон алыңыз. Ага каттоо маалыматы катары мамиле кылыңыз, анткени ал адатта жеке ачкычты же барабар материалды камтыйт, жана аны калган сырларыңыз жашаган жерде сактаңыз. Жүктөөлөр папкасында калтырылган профиль үстөлдө калтырылган ачкыч.

Көтөрүлгөн, бирок иштебей жатканда эмнени текшерүү керек

Интерфейс көтөрүлүп, клиент ийгилик жөнүндө билдиргенде, сыртка карай иштеңиз: маршрут таблицасы бара турган жер үчүн туннелди тандайбы, чечүүчү жеке атка жооп береби жана каршы тарапта кайтуу жолу барбы. Ар биринин өзүнчө буйругу жана өзүнчө ээси бар.

nmcli connection show --active
nmcli device status
wg show

nmcli'дин колдонмосу толук топтом керек болсо, статус жана туташуу буйруктарын документтейт. Бул жерде маанилүүсү — профилдин активдүү болушу менен түзмөктүн трафикти ташышынын айырмасы, анткени экөө карама-каршы келиши мүмкүн.

Конфигурацияны бүттү деп атаганга чейин ошол эле менеджер аркылуу бир жолу кайра туташыңыз жана ажыратылгандан кийин DNS дагы эле иштеп жатканын текшериңиз. Тек тунун биринчи өзгөрүүсүнө чейин иштеген конфигурация бүтпөгөн, ал жөн гана азыр иштеп турат.