OpenVPN beim Start op Ubuntu: NetworkManager oder systemd?

Déi meescht Guidë presentéieren d’Wiel als kosmetesch: entweder loosse si den NetworkManager den Tunnel eropbréngen, oder aktivéiert eng systemd-Instanz a fäerdeg. Déi zwee Weeër ënnerscheeden sech an enger Saach, déi d’Resultat op enger Maschinn ouni Bildschierm entscheet, an déi huet näischt domat ze dinn, ween Tool méi nei ass. Den NetworkManager entspärrt Geheimnisser iwwer eng Sessioun; eng systemd-Instanz huet keng Sessioun fir ze entspären. Wielt dee Wee, deem seng Geheimnisbehandlung zu der Maschinn virun Iech passt.

Alles anescht, vun der Installatioun vun de Route bis zum Verhalen beim Reconnect, follegt aus där éischter Entscheedung.

De Schlësselring ass den Ënnerscheed, vun deem keen schwätzt

Wann den NetworkManager eng VPN-Profil besëtzt, kann d’Passwuert am Login-Schlësselring sinn, deen entspaart gëtt, wann e Benotzer sech umellt. Dat funktionéiert gutt op engem Laptop: d’Persoun ass do, de Schlësselring geet op, den Tunnel kënnt erop. Op engem Server, deen ouni Iwwerwaachung start, ass keen do, dee saiséiere kann, also waart d’Profil op en Geheimnis, dat ni kënnt. D’Verbindung gesäit konfiguréiert aus a gëtt ni aktivéiert.

D’systemd-Instanz ëmgeet dat Problem, andeems si eng Umeldungsdatei vun der Plack liest, wat d’Datei zu deem mécht, wat Dir schützt. chmod 400 plus Propriétéit duerch root ass de Minimum, an d’Datei soll aus Backuppen an Image-Schablounen erausbleiwen, déi Dir net kontrolléiert.

D’VPN un eng Verbindung ukoppelen ass keng Startgarantie

A nm-connection-editor, wielt d’Kabel- oder d’Drahllosverbindung amplaz vun der VPN, maacht den General-Tab op, setzt de Haken bei der Optioun automatesch mat enger VPN ze verbannen an nennt d’Profil. Duerno aktivéiert den NetworkManager d’VPN als Sekundärverbindung, wann déi primär an de verbonnenen Zoustand kënnt. Dat ass eng Ofhängegkeet, keng Firewall-Reegel. Pakete kënnen nach ëmmer erausgoen an de Sekonnen ier den Tunnel erop ass, an en gespäichert Geheimnis, deen sech net entspäre léisst, léisst d’Maschinn ouni hien online.

Wann d’Fuerderung ass, datt näischt ouni den Tunnel erausgeet, sot dat a baut e Kill Switch, well dës Astellung keng een gëtt. Testt och Suspend an Resume, well d’Sekundärverbindung um Réckwee nei bewäert gëtt.

D’systemd-Instanz brauch en Numm vun der Datei, dee passt

Maacht d’Profil an de Client-Verzeechnis, deen de Paket erwaart, wéi zum Beispill /etc/openvpn/client/office.conf, a verweist vun do aus op d’Umeldungsdatei mam auth-user-pass office.cred. Den Instanznumm ass den Numm vun der Datei ouni Suffix, also liest openvpn-client@office d’Datei office.conf. Aktivéiert se mam sudo systemctl enable --now openvpn-client@office a bestätegt d’Zouuerdnung mam systemctl cat openvpn-client@office, amplaz engem Beispill aus engem Blog ze vertrauen.

Weeër bannent der Profil ginn relativ zum Aarbechtsverzeechnis vun der Eenheet opgeléist, net zur Profil selwer, also kann eng relativ ca- oder auth-user-pass-Linn beim Start feelen, wärend se funktionéiert, wann Dir se vun Hand testt. Benotzt absolut Weeër fir alles, wat d’Eenheet muss fannen. Liest duerno journalctl -u openvpn-client@office -b no engem richtegen Start; eng Eenheet, déi aktiv mellt ouni Tunnel, nennt meeschtens eng feelend Datei an deem Log.

Méi al Päck liwweren en aneren Numm vun der Schabloun, also entscheet systemctl list-unit-files 'openvpn*', wéi eng op dësem Host existéiert.

Verhalen beim Reconnect ass eng separat Entscheedung

Eng Profil mam ping-restart baut den Tunnel no engem Ausfall nei op, an eng Eenheet mat enger Restart-Direktiv mécht eppes Ähnleches um Serviceniveau. Dat si Politiken, déi Dir wielt, keng Standardwäerter, déi Dir ierft. Wann d’Verbindung nëmmen op Ufro erop soll kommen, entfernt d’Restartverhalen bewosst a schreift op firwat. Wann d’Eenheet start, ier den Netz brauchbar ass, brauch se eng Politik fir nei Versich, well een feelgeschloenen Versuch beim Start sech net vun selwer widderhëlt.

Stoppen ass grad esou wuertwiertlech: sudo systemctl disable --now openvpn-client@office stoppt déi lafend Instanz a läscht de Startlink. Nëmmen deaktivéieren léisst den Tunnel bis zum nächsten Neistart lafen, wat jiddereen iwwerrascht, deen duerch Deaktivéieren testt an d’Interface uewen bleiwe gesäit.

Startt nei, a kontrolléiert duerno véier Saachen an der Rei

De Service nei starten testt de Service; d’Maschinn nei starten testt de Startwee. No dem Neistart bestätegt, datt d’Eenheet eropkomm ass, duerno datt eng Route fir dee wäite Subnetz existéiert, duerno wéi eng Adress d’Maschinn dem Internet weist, an zum Schluss, datt Nimm duerch den Tunnel opgeléist ginn. Déi véier Kontrollen feelen an där Rei, wann eppes net stëmmt, wat den éischte Feeler deen nëtzlechen mécht.

Eng Eenheet, déi aktiv ass ouni Route, heescht meeschtens, datt d’Profil verbonnen huet, awer de Server keng Route gedréckt huet, oder datt d’Route op enger Interface installéiert gouf, déi duerno verschwonnen ass. Eng Route ouni funktionéierend Nummopschloen weist op d’DNS-Konfiguratioun, net op den Tunnel selwer.

Entscheet virdrun, wat soll geschéien, wann den Tunnel net erop kënnt. Op normal Konnektivitéit zréckzefalen ass eng Politik, an se soll opgeschriwwe ginn, amplaz se deem Manager z’iwwerloossen, deen als éischten ugefaangen huet.