Linux дээр VPN ажиллуулахад үнэхээр юу болдог вэ

Холбох товчийг дарвал Linux машинд гурван зүйл өөрчлөгдөнө: интерфэйс гарч ирэх, маршрут суух, шийдэгч өөрөөр хариулж эхлэх. Тохиргооны алдааны ихэнх нь эдгээрийн аль нэг нь бусдыгүйгээр тохиолдох, эсвэл хоёр програм аль нь тэднийг эзэмших талаар санал нийлэхгүй байхаас үүсдэг. Дарааллыг ойлгох нь клиентийн логын гаралтыг уншихаас илүү хурдан алдааг тайлбарладаг.

Ямар нэгэн зүйл ажиллахаас өмнө интерфэйс гарч ирдэг

Туннелийн клиент виртуал интерфэйс нээж, түүнд пакетуудыг дамжуулдаг. TUN төхөөрөмж IP пакетыг зөөдөг бөгөөд энэ нь маршрутлагдсан VPN-д хэрэгтэй; TAP төхөөрөмж Ethernet фрэймийг зөөдөг бөгөөд энэ нь гүүрэн загварт хэрэгтэй. Цөмийн модуль төхөөрөмжийг өгдөг, сессийн турш клиент үүнийг эзэмшдэг.

Интерфэйс өргөгдөх нь туннель ажиллаж байгаатай ижил биш. Хамтрагч хүрэхгүй байхад ч хаягтайгаар оршиж болох тул интерфэйсийн жагсаалт нь сүүлийн биш, эхний шалгалт болдог. Өөрийгөө өргөгдсөн гэж мэдээлэх төхөөрөмж нь цөмийн виртуал холбоосын талаарх харцыг дүрсэлдэг, хамтрагчийн хариулах бэлэн байдлыг биш.

Өгөгдсөн интерфэйсийн горимыг хэвээр нь орхи. TUN профайлыг TAP болгох нь маршрутлагдсан серверийг гүүрэн болгодоггүй бөгөөд ихэнхдээ холбогдож, юу ч дамжуулдаггүй холболт үүсгэдэг.

Маршрутыг туннелийг эзэмшигч нь суулгадаг

Маршрут бол хоёр дахь өөрчлөлт бөгөөд эзэмшил нь агуулгаас илүү чухал. NetworkManager профайл, systemd нэгж, гараар ажиллуулсан клиент бүгд маршрут суулгаж чаддаг бөгөөд тэдгээрийн хоёр нь зэрэг хийвэл дараа нь хэн ч тайлбарлаж чадахгүй хүснэгт үүсдэг.

ip -br addr show
ip route show
ip -6 route show

Бүрэн туннелийн профайл нь өгөгдмөл маршрутыг орлуулдаг; хуваагдсан туннелийн профайл нь илүү тодорхой маршрут нэмж, өгөгдмөлийг хэвээр үлдээдэг. Хоёулаа хэвийн бөгөөд хоёр дахь нь алсаас удирдаж буй машин дээр өгөгдмөл маршрутыг устгах нь муу эхний шалгалт гэдгийг тайлбарладаг. Үүнийг авах нь асуудлыг засахад ашиглаж буй сессээ алдах хамгийн хурдан арга ч юм.

Таамаглахын оронд хүснэгтийг унш. Илүү тодорхой маршрут эсвэл бодлогын дүрэм урсгалыг туннель руу илгээж болох бөгөөд өгөгдмөл маршрут физик интерфэйс рүү заасан хэвээр байдаг нь бүх хүснэгтийг уншиж дуустал зөрчилтэй мэт санагддаг. Энэ хослол хуваагдсан туннельд хэвийн бөгөөд нэг мөрөөр загварыг тайлбарлана гэж хүлээгчдийг төөрөгдүүлдэг. Бодит очих газраа тохирох маршрутыг хай, диаграмд тохирохыг нь биш.

Шийдэгч гар сольдог

DNS нь гурав дахь өөрчлөлт бөгөөд таны харж амжаагүй газар удирдагдах магадлал хамгийн өндөр нь юм. Ширээний компьютер дээр NetworkManager шийдэгчийн тохиргоог холболт бүрт дамжуулж болно. systemd-resolved ашигладаг системд тохиргоо холбоос бүрт хэрэгжих бөгөөд /etc/resolv.conf нь таны засах ёстой файл биш, стуб эсвэл симбол холбоос байж болно.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Хэрэв шийдэгчийн файлд гараар хийсэн засвар дахин холбогдсоны дараа алга болвол, энэ нь түүнийг арчдаг бүрэлдэхүүнийг олж, оронд нь профайлыг өөрчлөх дохио юм. Үүсгэсэн файлыг засах нь дахин холбогдсоноор устах өөрчлөлт юм.

Хувийн нэрс ихэвчлэн дотоод шийдэгч болон операторын өгсөн хайлтын домэйнуудыг шаарддаг. Нийтийн шийдэгчээр солих нь VPN-ийн оршин байх шалтгаан болсон нөөцийг өөрөө эвдэж болох бөгөөд шинж тэмдэг нь DNS-ийн бус, маршрутлалтын алдаа мэт харагддаг. Нэр болон хаягийг тус тусад нь шалга, учир нь нэг нь ажиллаж нөгөө нь бүтэлгүйтэх нь хаана харахыг яг хэлж өгдөг. Тэр нэг харьцуулалт маршрутын алдаа засах нэг цагийг хэмнэдэг.

Холболт бүрт нэг менежер

Профайлын формат нь аль програм үүнийг ашиглаж болохыг тодорхойлдог. OpenVPN профайлд OpenVPN эсвэл нийцтэй залгаас хэрэгтэй, WireGuard тохиргоо нь хамтрагчийн түлхүүр, зөвшөөрөгдсөн угтвар бүхий өөрийн форматтай. Файлын өргөтгөл юу ч гэсэн, импортын цонх нэгийг нөгөөд хөрвүүлдэггүй.

Нэг менежер сонгоод холболтыг түүнд эзэмшүүл. Ижил туннелийг хоёр хэрэгслээр өргөх нь маршрутын хүснэгт болон дахин холбогдох зан төлөвийг тодорхойгүй болгодог бөгөөд ихэнхдээ хоёр дахь эхэлсэн нь давтахад хэцүү аргаар ялдаг.

Тархалтад тань дэмжигддэг багцуудыг суулгаж, профайлыг оператороос ав. Үүнийг итгэмжлэл гэж үз, учир нь ихэвчлэн хувийн түлхүүр эсвэл түүнтэй адилтгах материал агуулдаг тул бусад нууц зүйлс чинь байдаг газарт хадгал. Татаж авах хавтсанд орхигдсон профайл бол ширээн дээр орхигдсон түлхүүр юм.

Өргөгдсөн боловч ажиллахгүй үед юуг шалгах вэ

Интерфэйс өргөгдөж, клиент амжилт мэдээлж байгаа үед гадагш ажилла: маршрутын хүснэгт очих газарт туннелийг сонгож байна уу, шийдэгч хувийн нэрэнд хариулж байна уу, эсрэг талд буцах зам байна уу. Тус бүр өөрийн команд, өөрийн эзэнтэй.

nmcli connection show --active
nmcli device status
wg show

nmcli-ийн лавлагаа бүрэн багц хэрэгтэй бол төлөв болон холболтын командуудыг баримтжуулдаг. Энд чухал нь профайл идэвхтэй байх ба төхөөрөмж урсгал зөөх хоёрын ялгаа бөгөөд хоёулаа зөрүүтэй байж болно.

Тохиргоог дууссан гэж хэлэхийн өмнө ижил менежерээр нэг удаа дахин холбогдож, салсны дараа DNS ажиллаж байгаа эсэхийг шалга. Зөвхөн сүлжээний эхний өөрчлөлт хүртэл ажилладаг тохиргоо дуусаагүй, зүгээр л яг одоо ажиллаж байна.