Apa Sebenarnya Berlaku Apabila Anda Memulakan VPN di Linux

Tekan sambung dan tiga perkara berubah pada mesin Linux: antara muka muncul, laluan dipasang, dan penyelesai mula menjawab secara berbeza. Kebanyakan kegagalan persediaan berpunca daripada salah satu daripada tiga itu berlaku tanpa yang lain, atau dua program tidak bersetuju tentang siapa pemiliknya. Memahami urutan menjelaskan kegagalan lebih cepat daripada membaca output log klien.

Antara muka muncul sebelum apa-apa berfungsi

Klien terowong membuka antara muka maya dan menyerahkan paket kepadanya. Peranti TUN membawa paket IP, yang diperlukan oleh VPN dilalukan; peranti TAP membawa bingkai Ethernet, yang diperlukan oleh reka bentuk dijambatani. Modul kernel menyediakan peranti itu, dan klien memilikinya selagi sesi berlangsung.

Antara muka naik bukanlah sama dengan terowong berfungsi. Ia boleh wujud dengan alamat sementara rakan tidak dapat dicapai, dan itulah sebabnya senarai antara muka ialah pemeriksaan pertama, bukan yang terakhir. Peranti yang melaporkan dirinya naik menerangkan pandangan kernel tentang pautan maya, bukan kesediaan rakan untuk menjawab.

Biarkan mod antara muka yang disediakan seperti adanya. Menukar profil TUN kepada TAP tidak menjadikan pelayan dilalukan sebagai dijambatani, dan biasanya menghasilkan sambungan yang terbentuk dan tidak memajukan apa-apa.

Laluan dipasang oleh sesiapa yang memiliki terowong

Laluan ialah perubahan kedua, dan pemilikannya lebih penting daripada kandungannya. Profil NetworkManager, unit systemd dan klien yang dijalankan secara manual semuanya boleh memasang laluan, dan apabila dua daripadanya melakukannya serentak, terhasilnya jadual yang tiada siapa dapat menjelaskan kemudian.

ip -br addr show
ip route show
ip -6 route show

Profil terowong penuh menggantikan laluan lalai; profil terowong berpecah menambah laluan yang lebih khusus dan membiarkan laluan lalai seperti adanya. Kedua-duanya normal, dan yang kedua ialah sebab mengapa memadam laluan lalai ialah ujian pertama yang buruk pada mesin yang anda urus dari jauh. Mengeluarkannya juga cara terpantas kehilangan sesi yang anda gunakan untuk membaiki masalah.

Baca jadual itu dan jangan menganggap. Laluan yang lebih khusus atau peraturan dasar boleh menghantar trafik ke dalam terowong sementara laluan lalai masih menunjuk ke antara muka fizikal, yang kelihatan bercanggah sehingga anda membaca seluruh jadual. Gabungan itu normal untuk terowong berpecah dan mengelirukan sesiapa yang menjangka satu baris menerangkan reka bentuk. Cari laluan yang sepadan dengan destinasi sebenar anda, bukan yang sepadan dengan rajah.

Penyelesai bertukar tangan

DNS ialah perubahan ketiga dan yang paling mungkin diurus di tempat yang anda tidak lihat. Pada desktop, NetworkManager boleh menolak tetapan penyelesai bagi setiap sambungan. Pada sistem yang menggunakan systemd-resolved, tetapan digunakan bagi setiap pautan dan /etc/resolv.conf mungkin stub atau pautan simbolik dan bukan fail yang patut anda sunting.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Jika suntingan manual pada fail penyelesai hilang selepas menyambung semula, itu isyarat untuk mencari komponen yang menyelenggaranya dan menukar profil sebaliknya. Menyunting fail yang dijana ialah perubahan yang akan dipadam oleh sambungan semula.

Nama peribadi biasanya memerlukan penyelesai dalaman dan domain carian yang diberikan oleh pengendali. Menggantikannya dengan penyelesai awam boleh merosakkan sumber yang menjadi sebab VPN wujud, dan gejalanya kelihatan seperti kegagalan penghalaan dan bukan kegagalan DNS. Uji nama dan alamat secara berasingan, kerana satu berfungsi dan satu lagi gagal memberitahu anda dengan tepat di mana perlu dilihat. Perbandingan tunggal itu menjimatkan sejam nyahpepijat laluan.

Satu pengurus bagi setiap sambungan

Format profil menentukan program mana yang boleh menggunakannya. Profil OpenVPN memerlukan OpenVPN atau pemalam yang serasi, dan konfigurasi WireGuard mempunyai formatnya sendiri dengan kunci rakan dan awalan yang dibenarkan. Dialog import tidak menterjemah satu ke yang lain, walau apa pun yang dicadangkan oleh sambungan fail.

Pilih satu pengurus dan biarkan ia memiliki sambungan. Menaikkan terowong yang sama melalui dua alat menjadikan jadual laluan dan kelakuan sambungan semula kabur, dan biasanya yang kedua bermula menang dengan cara yang sukar dihasilkan semula.

Pasang pakej yang disokong oleh distribusi anda dan dapatkan profil daripada pengendali. Anggap ia sebagai kelayakan, kerana ia biasanya mengandungi kunci peribadi atau bahan setara, dan simpan di tempat rahsia lain anda tinggal. Profil yang ditinggalkan dalam folder muat turun ialah kunci yang ditinggalkan di atas meja.

Apa yang perlu diperiksa apabila ia naik tetapi tidak berfungsi

Dengan antara muka naik dan klien melaporkan kejayaan, bekerjalah ke luar: adakah jadual laluan memilih terowong untuk destinasi, adakah penyelesai menjawab bagi nama peribadi, dan adakah pihak jauh mempunyai laluan balik. Setiap satu mempunyai arahan berasingan dan pemilik berasingan.

nmcli connection show --active
nmcli device status
wg show

Rujukan nmcli mendokumenkan arahan status dan sambungan jika anda memerlukan set penuh. Yang penting di sini ialah perbezaan antara profil yang aktif dan peranti yang membawa trafik, kerana keduanya boleh bercanggah.

Sambung semula sekali melalui pengurus yang sama sebelum anda mengisytiharkan persediaan selesai, dan periksa bahawa DNS masih berfungsi selepas terputus. Konfigurasi yang hanya berfungsi sehingga perubahan rangkaian pertama belum selesai, ia hanya berfungsi pada masa ini.