OpenVPN waqt il-boot fuq Ubuntu: NetworkManager jew systemd?

Il-biċċa l-kbira tal-gwidi jippreżentaw din l-għażla bħala waħda kożmetika: jew ħalli lil NetworkManager iġib it-tunnel ’il fuq, jew ippermetti istanza systemd u spiċċa. Iż-żewġ mogħdijiet ivarjaw f’ħaġa waħda li tiddeċiedi r-riżultat fuq magna mingħajr skrin, u m’għandha x’taqsam xejn ma’ liema għodda hi l-aktar ġdida. NetworkManager jiftaħ sigrieti permezz ta’ sessjoni; istanza systemd m’għandhiex sessjoni x’tiftaħ. Agħżel dik li t-trattament tagħha tas-sigrieti jaqbel mal-magna quddiemek.

Kull ħaġa oħra, mill-installazzjoni tar-rotot sal-imġieba tal-konnessjoni mill-ġdid, issegwi minn dik l-ewwel deċiżjoni.

Iċ-ċurkett tal-keys huwa d-differenza li ħadd ma jissemma

Meta NetworkManager ikollu profil VPN, il-password tista’ tgħix fiċ-ċurkett tal-keys tal-login, li jinfetaħ meta utent jidħol. Dan jaħdem tajjeb fuq laptop: il-persuna tkun preżenti, iċ-ċurkett jinfetaħ, it-tunnel jogħla. Fuq server li jibda mingħajr superviżjoni m’hemm ħadd li jiftaħ xejn, għalhekk il-profil jistenna sigriet li qatt ma jasal. Il-konnessjoni tidher ikkonfigurata u qatt ma tiġi attivata.

L-istanza systemd tevita dik il-problema billi taqra fajl tal-kredenzjali mid-diska, li jagħmel il-fajl il-ħaġa li tipproteġi. chmod 400 flimkien mas-sjieda minn root huwa l-minimu, u l-fajl għandu jibqa’ barra mill-backups u mill-mudelli tal-immaġni li ma tikkontrollax.

Li torbot il-VPN ma’ konnessjoni mhix garanzija tal-boot

F’nm-connection-editor, agħżel il-konnessjoni bil-wajer jew bla wajer minflok il-VPN, iftaħ il-tab General, immarka l-għażla li tikkonnettja awtomatikament ma’ VPN u semmi l-profil. NetworkManager imbagħad jattiva l-VPN bħala konnessjoni sekondarja meta dik primarja tilħaq stat konness. Din hija dipendenza, mhix regola tal-firewall. Il-pakketti xorta jistgħu joħorġu fis-sekondi qabel ma jogħla t-tunnel, u sigriet maħżun li ma jinfetaħx iħalli l-magna online mingħajru.

Jekk ir-rekwiżit huwa li xejn ma joħroġ mingħajr it-tunnel, għid hekk u ibni kill switch, għax dan is-setting mhux se jipprovdi wieħed. Iċċekkja wkoll is-sospensjoni u l-ħajja mill-ġdid, għax il-konnessjoni sekondarja terġa’ tiġi evalwata fit-triq lura.

L-istanza systemd teħtieġ isem tal-fajl li jaqbel

Qiegħed il-profil fid-direttorju tal-klijent li jistenna l-pakkett, bħal /etc/openvpn/client/office.conf, u rreferi mill-ġewwa għall-fajl tal-kredenzjali b’auth-user-pass office.cred. L-isem tal-istanza huwa l-isem tal-fajl mingħajr is-suffiss, għalhekk openvpn-client@office jaqra office.conf. Ippermettiha b’sudo systemctl enable --now openvpn-client@office u kkonferma l-mappa b’systemctl cat openvpn-client@office minflok ma tafda eżempju minn blog.

Il-mogħdijiet ġewwa l-profil jiġu riżolti relattiv għad-direttorju tax-xogħol tal-unit, mhux għall-profil innifsu, għalhekk linja relattiva ca jew auth-user-pass tista’ tfalli waqt il-boot waqt li taħdem meta ttestjaha bl-idejn. Uża mogħdijiet assoluti għal kull ħaġa li l-unit trid issib. Imbagħad aqra journalctl -u openvpn-client@office -b wara boot veru; unit li tirrapporta attiva mingħajr tunnel normalment issemmi fajl nieqes f’dak il-log.

Pakketti eqdem iġorru isem tal-mudell differenti, għalhekk systemctl list-unit-files 'openvpn*' jiddeċiedi liema jeżisti fuq dan il-host.

L-imġieba tal-konnessjoni mill-ġdid hija deċiżjoni separata

Profil b’ping-restart jerġa’ jibni t-tunnel wara li jaqa’, u unit b’direttiva ta’ restart tagħmel xi ħaġa simili fil-livell tas-servizz. Dawk huma politiki li tagħżel int, mhux defaults li tirret. Jekk il-konnessjoni għandha togħla biss fuq talba, neħħi l-imġieba tar-restart b’mod deliberat u ikteb għaliex. Jekk l-unit tibda qabel ma n-netwerk ikun użabbli, teħtieġ politika ta’ provi mill-ġdid, għax tentattiv fallut wieħed waqt il-boot ma jirrepetix waħdu.

It-twaqqif huwa bl-istess mod litterali: sudo systemctl disable --now openvpn-client@office iwaqqaf l-istanza li qed taħdem u jneħħi l-link tal-boot. Li tiddiżattiva biss iħalli t-tunnel jaħdem sad-restart li jmiss, u dan jissorprendi lil kull min jittestja billi jiddiżattiva u jara l-interface tibqa’ ’l fuq.

Ibboot mill-ġdid, imbagħad iċċekkja erba’ affarijiet fl-ordni

Li terġa’ tibda s-servizz tittestja s-servizz; li terġa’ tibboot il-magna tittestja l-mogħdija tal-boot. Wara r-restart, ikkonferma li l-unit telgħet, imbagħad li teżisti rotta għas-subnet mill-bogħod, imbagħad liema indirizz il-magna tippreżenta lill-internet, u fl-aħħar li l-ismijiet jiġu riżolti mit-tunnel. Dawk l-erba’ verifiki jonqsu f’dak l-ordni meta xi ħaġa tkun ħażina, li jagħmel l-ewwel falliment dak utli.

Unit attiva mingħajr rotta normalment tfisser li l-profil ikkonnettja imma s-server ma mbotta l-ebda rotta, jew li r-rotta ġiet installata fuq interface li wara sparixxiet. Rotta mingħajr tfittxija tal-ismijiet li taħdem tindika l-konfigurazzjoni DNS u mhux it-tunnel innifsu.

Iddeċiedi minn qabel x’għandu jiġri meta t-tunnel ma jistax jogħla. Li terġa’ lura għal konnettività sempliċi hija politika, u għandha tinkiteb minflok ma titħalla f’idejn dak il-maniġer li beda l-ewwel.