Ären VPN funktionéiert eréischt no der Umeldung wéinst dem Schlësselbund

D'Kommando funktionéiert, wann Dir agemellt sidd, also setzt Dir se an e Startskript a gitt heem. De nächste Moien ass d'Maschinn online an den Tunnel net. De Mythos ass, datt en funktionéierende Opruff en funktionéierende Service ass. An der Praxis ass den Ënnerscheed meeschtens eng vun zwou Saachen: de Profil gehéiert zu Ärer Benotzersitzung amplaz zum System, oder de Geheimnis gëtt vun eppes opgemaach, dat eréischt no Ärer Umeldung existéiert. Béides funktionéiert perfekt an engem manuellen Test a versoeet genau an deem Moment, wou kee kuckt.

Firwat d'Umeldung et funktionéiere léisst

Eng graffesch Umeldung startet e Sitzungsbus an en Agent vum Geheimnisservice, an do späicheren déi meescht Desktop-orientéiert Clienten d'Passwuert vum Profil oder d'Passphrase vum private Schlëssel. Eng Aktivéierung, déi no der Umeldung als Äre Benotzer leeft, kann deen Agent no dem Geheimnis froen an et fäerdeg bréngen. Déiselwecht Aktivéierung, déi vun enger Starteenheet ausgefouert gëtt, huet keng Sitzung, kee Bus an keen Agent, dofir versoeet d'Sich oder blockéiert op enger Ufro, déi kee gesäit.

Féiert dee selwechte Profil virun an no der Umeldung aus, an Dir kritt zwee verschidde Resultater aus enger Konfiguratioun. Dat ass d'Signatur vun enger Ofhängegkeet vun Umeldungsdonnéeën, net vun engem futtisse Tunnel, an et erkläert, firwat en manuellen Test an engem Terminal manner beweist wéi et schéngt. Den Tunnel ass gutt; et feelt dat, wat säi Geheimnis opmécht.

Entscheet, wien den Tunnel startet

Et gëtt zwee ënnerstëtzte Mustere, an se ze vermëschen ass deen anere Wee, wéi dëst versoeet. NetworkManager kann eng Verbindung op Systemniveau aktivéieren, wat passend ass, wann d'Maschinn hir Vernetzung schonn do zentraliséiert. Alternativ bedreift eng dedizéiert systemd-Eenheet de VPN direkt a besëtzt d'Schnittstell selwer.

systemctl list-unit-files 'openvpn*'
systemctl list-unit-files 'wg-quick*'
nmcli connection show --active
systemctl enable --now wg-quick@wg0

Belaascht net béid Besëtzer géint eng Konfiguratioun. Wann NetworkManager d'Schnittstell verwalt an eng Eenheet se och eropbréngt, streiden se iwwer Routen an DNS, an de resultéierende Zustand hänkt dovun of, wien als leschten fäerdeg war.

Setzt de Geheimnis do, wou e Service en liese kann

En Hannergrondservice kann net op eng Ufro äntweren. Zertifikats-Passphrasen, Kontopasswierder an referenzéiert Authentifikatiounsdateie brauche jidderee su eng Stockage-Reegel, déi d'Eenheet ouni Mënsch erreecht, déi dem Kont gehéiert, deen de Service bedreift, an déi fir all aner onliesbar ass.

Den tempting Ofkierzung ass, d'Datei fir jiddereen liesbar ze maachen, bis de Permissiounsfehler verschwënnt. Dat tauscht e Startfehler géint eng laangfristeg Expositioun vun Umeldungsdonnéeën, an et ass déi Zort Ännerung, op déi kee méi zréckkënnt. Benotzt de Mechanismus, deem d'Deployment schonn vertraut: eng limitéiert Umeldungsdatei, en onverschlësselte Schlëssel, deen duerch Dateipermissiounen geschützt ass, oder eng Verbindung op Systemniveau mat sengem eegene Geheimnisstock.

Test d'Evenement, dat tatsächlech geschitt

De Service no der Umeldung manuell starten testet bal näischt. Startt nei, oder deaktivéiert d'graffesch Umeldung fir een Zyklus, a kuckt wéi d'Eenheet vu selwer eropkënnt. Dat ass den eenzegen Test, deen d'Verfügbarkeet vun den Umeldungsdonnéeën, d'Netzbereetschaft an d'Uerdnung vun den Eenheeten zesummen übt. Et ass och den Test, deen de Feeler reproduzéiert, deen de Benotzer gemellt huet, wat e manuelle Start ni mécht.

systemctl is-enabled wg-quick@wg0
journalctl -u wg-quick@wg0 -b --no-pager
systemctl status systemd-networkd-wait-online --no-pager

D'Uerdnung zielt esou vill wéi d'Umeldungsdonnéeën. Eng Eenheet, déi startet, éier den ënnerleeënden Uplink konfiguréiert ass, gëtt op, an e puer Distributiounen ënnerscheede sech doranner, ob se op Konnektivitéit waarden. Wann d'Eenheet beim Start e Feeler mëllt, awer et klappt, wann Dir se drësseg Sekonnen méi spéit vun Hand start, hutt Dir e Uerdnungsproblem fonnt an net e Geheimnisproblem.

Iwwerpréift Routen an DNS, net just d'Schnittstell

Eng Schnittstell, déi existéiert, ass keen funktionéierenden Tunnel. No engem oniwwerwaachten Start kontrolléiert d'Routen, den Zoustand vum Resolver an een Zil no Adress, éier Dir en Numm kontrolléiert. Da kontrolléiert d'Applikatioun, fir déi den Tunnel existéiert.

ip -4 route show
resolvectl status
ping -c 3 10.61.0.1
curl -sS --max-time 5 https://internal.example/ -o /dev/null -w '%{http_code}\n'

Wann d'Adress funktionéiert an den Numm net, ass de Reschtprobleem DNS-Politik an net den Tunnel. Schreift op, wien de Service startet a wou de Geheimnis läit, well déi nächst Persoun, déi dës Maschinn nei startet, brauch béid Fakten.