OpenVPN op engem VPS: keen /dev/net/tun-Apparat fir opzemaachen

Den éischte Start schléit fehl mat enger Meldung iwwer /dev/net/tun oder en TUN/TAP-Apparat, deen net kann opgemaach ginn. D'Zertifikater goufen nach net gelies, also ass am Profil näischt ze schëlleg. Den Daemon freet de Kernel no engem Objet, deen dëse Guest net huet.

Dësen Objet ass en Zeechenapparat, deen duerch den tun-Modul ënnerstëtzt gëtt. Ob dir en uleeë kënnt, hänkt dovun of, wien de Kernel besëtzt.

Wat den Daemon de Kernel freet

OpenVPN mécht /dev/net/tun op a freet den Treiber no enger Interface. Den Treiber ass den tun-Modul, an de Geräiknot ass de Grëff, deen de Userspace benotzt, fir en z'erreechen. Wann de Modul net gelueden ass, kann de Knot feelen oder d'Opmaachen kann fehlschloen. Keng vun deenen zwou Situatiounen ass duerch d'Ännere vun server.conf behuewen.

Lies de Feeler éischt als eng Fro iwwer d'Plattform. E Konfiguratiounsfeeler erschéngt, nodeems den Apparat opgemaach gëtt, net virdrun.

VM oder Guest mat gedeeltem Kernel

Op KVM, Xen oder enger anerer voller virtueller Maschinn kontrolléiert dir de Kernel. Dir kënnt Moduler lueden an de Knot uleeën. Op OpenVZ, Virtuozzo oder engem Container am LXC-Stil deelt de Guest de Kernel vum Host, also kann root dobannen e Modul net lueden, deen den Host net gelueden huet.

Dee selwechte Feeler huet dofir zwee ganz ënnerschiddlech Verantwortlecher. Am éischte Fall kënnt dir en dobannen an der Instanz flicken. Am zweete freet dir den Host oder den Anbieter, eppes ze weisen.

Féier ls -l /dev/net/tun, lsmod | grep tun an ip -brief link show aus, éier dir decidéiert, a wéi engem Fall dir sidd.

Op enger VM de Modul beim Start lueden

Op enger virtueller Maschinn erstellt modprobe tun normalerweis de Geräiknot. Kontrolléier, datt en erschéngt, a maach d'Lueden duerno iwwer d'Modulkonfiguratioun vun der Distributioun dauerhaft, amplaz sech op eng Commande ze verloossen, déi een eemol getippt huet. E Knot, deen nom Reboot verschwënnt, gëtt nächsten Mount dee selwechten Ticket.

Kontrolléier och, ob de Kernel, deen dir gestart hutt, de Modul iwwerhaapt disponibel huet. E reduzéierte Vendor-Kernel kann en net hunn.

Wann de Knot existéiert, awer d'Opmaache nach ëmmer fehlschléit, sinn d'Rechter an d'Major-/Minor-Nummeren vum Apparat déi nächst Verdächtegen. Dat si lokal Korrekturen, keng Ufroe beim Anbieter.

An engem Container gehéiert den Apparat dem Host

An engem Container sinn den Apparat an d'Capability zwee getrennt Erfuerdernesser. D'Runtime muss /dev/net/tun duerchloossen, an de Container brauch d'Netzwierk-Capability, fir eng Interface unzeleeën. Eng rootless Runtime, déi keng vun deenen zwee gëtt, produzéiert dee selwechten Opmaachfeeler weider, egal wéi de Profil geschriwwen ass. Vill OpenVZ-Hoste bidden en TUN/TAP-Schalter am Clientpanel un, an en ze aktivéieren plus e Reboot ass dacks déi ganz Léisung.

Frot den Anbieter zwou präzis Froen: ass den tun-Modul um Host gelueden, an ass den Apparat bannen an dëser Instanz disponibel? En vaguen Ticket kritt eng vag Äntwert.

Firwat de Modul nei ze bauen selten hëlleft

E Modul bannen am Guest ze bauen hëlleft selten. D'Kompiléiere brauch d'Konfiguratioun vum genee lafende Kernel, an /proc/config.gz ass optional a feelt dacks op minimale Biller. Och en funktionéierende Modul kann net an e Kernel agesat ginn, deen de Container net besëtzt.

Nodeems den Apparat erschéngt, start de Service nei a bestäteg d'Interface, éier dir Traffic testt. tun0 ze gesinn weist, datt den Daemon den Apparat opgemaach huet. Et seet nach näischt iwwer Forwarding, Firewall-Reegelen oder d'Routen, déi d'Cliente kréien.

Dat si getrennt Froen mat getrennt Beweiser. En feelenden Apparat ass eng Virbedingungs-Feeler; en Tunnel, deen existéiert, awer näischt transportéiert, ass eng Politik-Feeler.