Wat tatsächlech geschitt, wann Dir eng VPN op Linux start

Dréckt op verbannen an op enger Linux-Maschinn änneren sech dräi Saachen: eng Interface erschéngt, Route ginn installéiert, an de Resolver fänkt anescht un ze äntweren. Déi meescht Konfiguratiounsfeeler komme vun deem, datt ee vun dësen dräi ouni déi aner geschitt, oder vun zwee Programmer, déi sech net eeneg sinn, wien hinnen gehéiert. D'Reiefolleg ze verstoen erkläert de Feeler méi séier wéi d'Logausgab vun engem Client ze liesen.

Eng Interface erschéngt ier iergendepos funktionéiert

En Tunnelclient mécht eng virtuell Interface op a gëtt Packetten un si weider. En TUN-Gerät transportéiert IP-Packetten, wat eng geroutete VPN brauch; en TAP-Gerät transportéiert Ethernet-Frames, wat en iwwerbréckten Design brauch. De Kernelmodul stellt d'Gerät, an de Client besëtzt et soulaang wéi d'Sessioun dauert.

Datt d'Interface eropkënnt ass net d'selwecht wéi en Tunnel, deen funktionéiert. Si kann mat enger Adress existéieren, während de Peer net erreechbar ass, an dowéinst ass d'Interface-Lëscht déi éischt Kontroll an net déi lescht. En Gerät, dat sech als uewen mëllt, beschreift dem Kernel seng Vue vun enger virtueller Verbindung, net dem Peer seng Bereetschaft ze äntweren.

Loosst de geliwwerten Interface-Modus wéi en ass. En TUN-Profil an TAP ëmzewandelen mécht aus engem geroutete Server keen iwwerbréckten, an et produzéiert meeschtens eng Verbindung, déi sech opbaut an näischt weiderleet.

D'Route ginn vun deem installéiert, deen den Tunnel besëtzt

D'Route sinn déi zweet Ännerung, an hir Proprietéit ass méi wichteg wéi hiren Inhalt. En NetworkManager-Profil, eng systemd-Uniti an en handgestartene Client kënnen all Route installéieren, an wann zwee dovun et gläichzäiteg maachen, entsteet eng Tabell, déi spéider keen erkläre kann.

ip -br addr show
ip route show
ip -6 route show

En Full-Tunnel-Profil ersetzt déi Standardroute; en Split-Tunnel-Profil füügt méi spezifesch Route bäi an läisst d'Standardroute wéi se ass. Béid sinn normal, an d'zweet ass de Grond, firwat d'Läschen vun enger Standardroute en schlechten éischten Test op enger Maschinn ass, déi Dir aus der Ferne administréiert. Se ewechzehuelen ass och de séierste Wee, d'Sessioun ze verléieren, déi Dir benotzt fir de Problem ze léisen.

Liest d'Tabell amplaz unzehuelen. Eng méi spezifesch Route oder eng Politikregel kann den Traffic an den Tunnel schécken, während d'Standardroute nach op d'physikalesch Interface weist, wat widderspréchlech ausgesäit, bis Dir déi ganz Tabell liest. Déi Kombinatioun ass normal fir Split-Tunnel a verwirrend fir jiddereen, deen erwaart, datt eng Zeil den Design beschreift. Sicht d'Route, déi Ärem eigentlechen Zil entsprécht, net déi, déi dem Diagramm entsprécht.

De Resolver wiesselt d'Hänn

DNS ass déi drëtt Ännerung an déi, déi am meeschten u menger Plaz geréiert gëtt, wou Dir net nogekuckt hutt. Op engem Desktop kann NetworkManager Resolver-Astellungen pro Verbindung duerchschécken. Op engem System mat systemd-resolved ginn d'Astellungen pro Link ugewannt an /etc/resolv.conf kann e Stub oder e symbolesche Link sinn an net eng Datei, déi Dir sollt änneren.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Wann eng manuell Ännerung un der Resolver-Datei no enger Reconnect verschwënnt, ass dat d'Signal, de Komponent ze fannen, deen se ënnerhält, an amplaz de Profil z'änneren. D'generéiert Datei z'änneren ass eng Ännerung, déi eng Reconnect läscht.

Privat Nimm brauchen normalerweis den internen Resolver an d'Sichdomänen, déi den Operateur geliwwert huet. En ëffentleche Resolver kann genau déi Ressource futti maachen, fir déi et d'VPN gëtt, an de Symptom gesäit aus wéi e Routingfeeler an net wéi en DNS-Feeler. Test den Numm an d'Adress getrennt, well datt een funktionéiert an deen aneren net sagt Iech genau, wou Dir sollt nogekucken. Dee eenzege Verglach spuert eng Stonn Route-Debugging.

Een Manager pro Verbindung

De Profilformat entscheet, wéi ee Programm en ka benotzen. En OpenVPN-Profil brauch OpenVPN oder e kompatibelt Plugin, an eng WireGuard-Konfiguratioun huet hiren eegene Format mat Peer-Schlësselen an erlaabten Präfixer. En Import-Dialog iwwersetzt dat eeicht net an dat anert, wat och ëmmer d'Dateierweiderung suggeréiert.

Wielt een Manager a loosst hien d'Verbindung besëtzen. D'selwecht Tunnel duerch zwee Tools eropzebréngen mécht d'Routentabell an d'Reconnect-Verhalen zweedeiteg, an deen zweeten, deen ufänkt, gewënnt meeschtens op Manéieren, déi schwéier ze reproduzéieren sinn.

Installéiert d'Paketen, déi Är Distributioun ënnerstëtzt, a kritt de Profil vum Operateur. Behandelt en wéi eng Authentifikatioun, well en normalerweis e private Schlëssel oder gläichwäertegt Material enthält, a späichert en do, wou de Rescht vun Äre Geheimnisser läit. En Profil, deen an engem Download-Ordner läit, ass e Schlëssel, deen op engem Schreifdësch läit.

Wat ze kontrolléieren, wann et uewen ass awer net funktionéiert

Mat der Interface uewen an dem Client, deen Erfolleg mëllt, schaff no baussen: wielt d'Routentabell den Tunnel fir den Zil, äntwert de Resolver fir den private Numm, an huet déi aner Säit e Réckwee. Jiddereen huet säin eegene Kommando a säin eegenen Eegentemer.

nmcli connection show --active
nmcli device status
wg show

D'nmcli-Referenz dokumentéiert d'Status- a Verbindungskommandos, wann Dir de ganze Set braucht. Wat hei zielt, ass den Ënnerscheed tëscht engem aktive Profil an engem Gerät, dat Traffic dréit, well déi zwee sech widderspriechen.

Verbannt Iech eemol nei duerch dee selwechte Manager, ier Dir d'Konfiguratioun als fäerdeg bezeechent, a kontrolléiert, datt DNS nach no enger Trennung funktionéiert. Eng Konfiguratioun, déi just bis zur éischter Netzwierkännerung funktionéiert, ass net fäerdeg, se funktionéiert just am Moment.