Што навистина се случува кога ќе стартувате VPN на Linux

Притиснете поврзи и на Linux машина се менуваат три работи: се појавува интерфејс, се инсталираат рути и резолверот почнува да одговара поинаку. Повеќето грешки при поставување доаѓаат од тоа што една од тие три се случува без другите, или од тоа што две програми не се согласуваат чии се. Разбирањето на редоследот ја објаснува грешката побрзо отколку читањето на излезот од дневникот на клиентот.

Интерфејс се појавува пред нешто да работи

Клиентот на тунел отвора виртуелен интерфејс и му предава пакети. Уред TUN носи IP пакети, што е она што му треба на рутиран VPN; уред TAP носи Ethernet рамки, што е она што му треба на мостен дизајн. Кернел модулот го обезбедува уредот, и клиентот го поседува додека трае сесијата.

Подигањето на интерфејсот не е исто што и тунел што работи. Тој може да постои со адреса додека партнерот е недостапен, и затоа листата на интерфејси е првата проверка, а не последната. Уред што се пријавува како подигнат го опишува погледот на кернелот за виртуелна врска, а не подготвеноста на партнерот да одговори.

Оставете го доставениот режим на интерфејсот како што е. Претворањето на TUN профил во TAP не прави рутиран сервер да стане мостен и обично дава врска што се воспоставува и не пренесува ништо.

Рутите ги инсталира тој што го поседува тунелот

Рутите се втората промена и нивната сопственост е поважна од содржината. NetworkManager профил, systemd единица и рачно стартуван клиент можат сите да инсталираат рути, и кога две од нив го прават тоа истовремено, се добива табела што никој подоцна не може да ја објасни.

ip -br addr show
ip route show
ip -6 route show

Профилот за целосен тунел ја заменува стандардната рута; профилот за поделен тунел додава поконкретни рути и ја остава стандардната на мира. Двете се нормални, а второто е причината зошто бришењето на стандардната рута е лош прв тест на машина што ја администрирате оддалечено. Нејзиното отстранување е и најбрзиот начин да ја изгубите сесијата што ја користите за да го поправите проблемот.

Читајте ја табелата наместо да претпоставувате. Поконкретна рута или правило за политика можат да испратат сообраќај во тунелот додека стандардната рута сѐ уште покажува на физичкиот интерфејс, што изгледа противречно додека не ја прочитате целата табела. Таа комбинација е нормална за поделен тунел и збунува секој што очекува една линија да го опише дизајнот. Барајте ја рутата што одговара на вашето вистинско одредиште, а не онаа што одговара на дијаграмот.

Резолверот менува раце

DNS е третата промена и онаа што најверојатно се управува некаде каде што не сте погледнале. На десктоп, NetworkManager може да ги прати поставките на резолверот по врска. На систем што користи systemd-resolved, поставките се применуваат по врска и /etc/resolv.conf може да биде заглушка или симболичка врска, а не датотека што треба да ја уредувате.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Ако рачното уредување на датотеката на резолверот исчезне по повторното поврзување, тоа е сигнал да ја најдете компонентата што ја одржува и наместо тоа да го промените профилот. Уредувањето на генерираната датотека е промена што повторното поврзување ќе ја избрише.

Приватните имиња обично бараат внатрешниот резолвер и домените за пребарување што ги дал операторот. Замената со јавен резолвер може да го скрши токму ресурсот за кој постои VPN, и симптомот изгледа како грешка во рутирањето, а не во DNS. Тестирајте го името и адресата одделно, зашто тоа што едното работи, а другото не успева точно ви кажува каде да гледате. Таа една споредба заштедува еден час отстранување на грешки со рути.

Еден менаџер по врска

Форматот на профилот одлучува која програма може да го користи. На OpenVPN профилот му треба OpenVPN или компатибилен приклучок, а WireGuard конфигурацијата има свој формат со клучеви на партнерот и дозволени префикси. Дијалогот за увоз не го преведува едното во другото, што и да сугерира наставката на датотеката.

Изберете еден менаџер и оставете го да ја поседува врската. Подигањето на истиот тунел преку два алатки ја прави табелата со рути и однесувањето при повторно поврзување нејасни, и обично победува вториот што ќе стартува, на начини што тешко се репродуцираат.

Инсталирајте ги пакетите што ги поддржува вашата дистрибуција и набавете го профилот од операторот. Третирајте го како акредитив, зашто обично содржи приватен клуч или еквивалентен материјал, и чувајте го таму каде што живеат останатите ваши тајни. Профил оставен во папката за преземања е клуч оставен на маса.

Што да проверите кога е подигнато, но не работи

Со подигнат интерфејс и клиент што известува за успех, работете кон надвор: дали табелата со рути го избира тунелот за одредиштето, дали резолверот одговара за приватното име и дали спротивната страна има повратен пат. Секое има посебна команда и посебен сопственик.

nmcli connection show --active
nmcli device status
wg show

Референцата за nmcli ги документира командите за статус и врска ако ви треба целиот сет. Она што е важно овде е разликата помеѓу активен профил и уред што носи сообраќај, зашто двете може да се разидуваат.

Поврзете се повторно еднаш преку истиот менаџер пред да го наречете поставувањето завршено, и проверете дали DNS сѐ уште работи по исклучување. Конфигурација што работи само до првата промена на мрежата не е завршена, таа само моментално работи.