Il-VPN tiegħek taħdem biss wara li tidħol minħabba ċ-ċavetta

Il-kmand jaħdem meta tkun illoggjat, allura tpoġġih fi skript tal-bidu u tmur id-dar. L-għada filgħodu l-magna hija onlajn u t-tunnel mhuwiex. Il-mit huwa li sejħa li taħdem hija servizz li jaħdem. Fil-prattika d-differenza normalment hija waħda minn żewġ affarijiet: il-profil jappartjeni għas-sessjoni tal-utent tiegħek aktar milli għas-sistema, jew is-sigriet jiġi żblukkat minn xi ħaġa li teżisti biss wara li tidħol. It-tnejn jaħdmu b'mod perfett fi ttestjar manwali u jonqsu eżatt fil-mument li ħadd ma qed jara.

Għaliex id-dħul jagħmilha taħdem

Dħul grafiku jibda bus tas-sessjoni u aġent tas-servizz tas-sigrieti, u hemmhekk ħafna klijenti orjentati lejn id-desktop iżommu l-password tal-profil jew il-frażi tal-password taċ-ċavetta privata. Attivazzjoni li taħdem bħala l-utent tiegħek wara d-dħul tista' titlob is-sigriet minn dak l-aġent u tirnexxi. L-istess attivazzjoni mwettqa minn unità tal-bidu m'għandhiex sessjoni, bus u lanqas aġent, għalhekk it-tfittxija tonqos jew timblokka fuq talba li ħadd ma jara.

Mexxi l-istess profil qabel u wara d-dħul u tikseb żewġ riżultati differenti minn konfigurazzjoni waħda. Din hija l-firma ta' dipendenza fuq il-kredenzjali, mhux ta' tunnel miksur, u tispjega għaliex test manwali f'terminal jipprova inqas milli jidher. It-tunnel huwa tajjeb; nieqes dak li jiftaħ is-sigriet tiegħu.

Iddeċiedi liema sid jibda t-tunnel

Hemm żewġ mudelli appoġġjati, u li tħallathom hija l-mod l-ieħor kif dan jonqos. NetworkManager jista' jattiva konnessjoni fil-livell tas-sistema, li hija xierqa meta l-magna diġà tiċċentralizza n-netwerking tagħha hemmhekk. Alternattivament, unità systemd dedikata tmexxi l-VPN direttament u tippossjedi l-interface innifisha.

systemctl list-unit-files 'openvpn*'
systemctl list-unit-files 'wg-quick*'
nmcli connection show --active
systemctl enable --now wg-quick@wg0

Tħaddimx iż-żewġ sidien fuq konfigurazzjoni waħda. Jekk NetworkManager jimmaniġġja l-interface u unità wkoll tgħolliha, huma jiġġieldu dwar rotot u DNS, u l-istat li jirriżulta jiddependi minn min spiċċa l-aħħar.

Poġġi s-sigriet fejn servizz jista' jaqrah

Servizz fil-background ma jistax iwieġeb għal talba. Il-frażijiet tal-password taċ-ċertifikati, il-passwords tal-kont u l-fajls tal-awtentikazzjoni referenzjati kollha jeħtieġu arranġament ta' ħażna li l-unità tista' tilħaq mingħajr bniedem, proprjetà tal-kont li jmexxi s-servizz u mhux tinqara minn kulħadd.

Il-qasira li tħajjar hija li l-fajl isir jinqara minn kulħadd sakemm l-iżball tal-permessi jisparixxi. Dan ibaddel falliment fil-bidu ma' espożizzjoni fit-tul tal-kredenzjali, u dan huwa t-tip ta' bidla li ħadd ma jerġa' jara. Uża l-mekkaniżmu li l-implimentazzjoni diġà tafda: fajl tal-kredenzjali ristrett, ċavetta mhux encrypted protetta mill-permessi tal-fajl, jew konnessjoni fil-livell tas-sistema bil-maħżen tas-sigrieti tagħha stess.

Ittestja l-avveniment li tassew jiġri

It-tnedija tas-servizz manwalment wara d-dħul ma tittestja kważi xejn. Erġa' ibda, jew itfi l-login grafiku għal ċiklu wieħed, u ara l-unità titla' waħedha. Dak huwa l-uniku test li jeżerċita flimkien id-disponibbiltà tal-kredenzjali, il-ħejjija tan-netwerk u l-ordni tal-unitajiet. Huwa wkoll it-test li jirriproduċi l-falliment li rrapporta l-utent, li qatt ma jagħmel tnedija manwali.

systemctl is-enabled wg-quick@wg0
journalctl -u wg-quick@wg0 -b --no-pager
systemctl status systemd-networkd-wait-online --no-pager

L-ordni hija importanti daqskemm huma l-kredenzjali. Unità li tibda qabel ma tkun ikkonfigurata l-konnessjoni 'l fuq sottostanti se tagħti lura, u xi distribuzzjonijiet ivarjaw dwar jekk jistennewx konnettività. Jekk l-unità tirrapporta falliment fil-bidu imma tirnexxi meta tibdiha b'idejk tletin sekonda wara, tkun sibt problema ta' ordni u mhux problema ta' sigriet.

Ivverifika rotot u DNS, mhux biss l-interface

Interface li teżisti mhijiex tunnel li jaħdem. Wara bidu mhux sorveljat, iċċekkja r-rotot, l-istat tas-solvatur u destinazzjoni waħda bl-indirizz qabel ma tiċċekkja isem. Imbagħad iċċekkja l-applikazzjoni li għaliha teżisti t-tunnel.

ip -4 route show
resolvectl status
ping -c 3 10.61.0.1
curl -sS --max-time 5 https://internal.example/ -o /dev/null -w '%{http_code}\n'

Jekk l-indirizz jaħdem u l-isem le, il-problema li tibqa' hija l-politika DNS u mhux it-tunnel. Innota liema sid jibda s-servizz u fejn tgħix is-sigriet, għax il-persuna li jmiss li terġa' tibda din il-magna se jkollha bżonn iż-żewġ fatti.