Kva som faktisk skjer når du startar ein VPN på Linux

Trykk på kople til, og tre ting endrar seg på ein Linux-maskin: eit grensesnitt dukkar opp, ruter blir installerte, og resolvaren byrjar å svare annleis. Dei fleste oppsettfeila kjem av at ein av dei tre skjer utan dei andre, eller av at to program er usamde om kven som eig dei. Å forstå rekkjefølgja forklarer feilen raskare enn å lese loggutdata frå ein klient.

Eit grensesnitt dukkar opp før noko verkar

Ein tunnelklient opnar eit virtuelt grensesnitt og overlèt pakkar til det. Ei TUN-eining ber IP-pakkar, som er det ein ruta VPN treng; ei TAP-eining ber Ethernet-rammer, som er det eit brua design treng. Kjernemodulen leverer eininga, og klienten eig henne så lenge økta varer.

At grensesnittet kjem opp er ikkje det same som at tunnelen verkar. Det kan finnast med ei adresse medan motparten er utilgjengeleg, og difor er grensesnittlista den første kontrollen og ikkje den siste. Ei eining som melder seg oppe, skildrar kjernen sitt syn på ei virtuell sambinding, ikkje viljen til motparten til å svare.

Lat grensesnittmodusen du fekk utlevert, vere. Å endre ein TUN-profil til TAP gjer ikkje ein ruta server brua, og det gir vanlegvis ei sambinding som blir etablert og ikkje videresender noko.

Ruter blir installerte av den som eig tunnelen

Ruter er den andre endringa, og eigarskapet deira betyr meir enn innhaldet. Ein NetworkManager-profil, ei systemd-eining og ein handkøyrt klient kan alle installere ruter, og når to av dei gjer det samstundes, oppstår ein tabell som ingen seinare kan forklare.

ip -br addr show
ip route show
ip -6 route show

Ein fulltunnelprofil erstattar standardruta; ein splittunnelprofil legg til meir spesifikke ruter og lèt standardruta vere. Begge er normale, og det andre er grunnen til at sletting av ei standardrute er ein dårleg første test på ein maskin du administrerer eksternt. Å fjerne henne er også den raskaste måten å miste økta du brukar for å rette problemet.

Les tabellen i staden for å anta. Ei meir spesifikk rute eller ei policyregel kan sende trafikk inn i tunnelen medan standardruta framleis peikar på det fysiske grensesnittet, noko som ser sjølvmotseiande ut til du les heile tabellen. Den kombinasjonen er normal for splittunnel og forvirrande for alle som ventar at éi linje skildrar designet. Sjå etter ruta som passar den faktiske destinasjonen din, ikkje den som passar diagrammet.

Resolvaren skiftar hender

DNS er den tredje endringa og den som mest sannsynleg blir styrt på ein stad du ikkje har sett. På ein stasjonær kan NetworkManager skyve resolvarinnstillingar per tilkopling. På eit system med systemd-resolved blir innstillingane brukte per lenkje, og /etc/resolv.conf kan vere ein stub eller ei symbolsk lenkje i staden for ei fil du bør redigere.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Viss ei manuell endring av resolvarfila forsvinn etter ein gjentilkopling, er det signalet om å finne komponenten som vedlikeheld henne og endre profilen i staden. Å redigere den genererte fila er ei endring som ein gjentilkopling vil slette.

Private namn treng vanlegvis den interne resolvaren og søkjedomena operatøren leverte. Å erstatte med ein offentleg resolvar kan øydeleggje nettopp ressursen VPN-en finst for å nå, og symptomet ser ut som ein rutefeil og ikkje ein DNS-feil. Test namnet og adressa kvar for seg, fordi at éin verkar og den andre feilar fortel deg nøyaktig kvar du skal sjå. Den eine samanlikninga sparer ein times rutefeilsøking.

Éin behandlar per tilkopling

Profilformatet avgjer kva program som kan bruke det. Ein OpenVPN-profil treng OpenVPN eller ein kompatibel plugin, og ein WireGuard-konfigurasjon har sitt eige format med motpartsnøklar og tillatne prefiks. Ein importdialog omset ikkje det eine til det andre, uansett kva filendinga antydar.

Vel éin behandlar og lat han eige tilkoplinga. Å reise den same tunnelen gjennom to verktøy gjer rutetabellen og gjentilkoplingsoppførselen tvitydig, og den andre som startar vinn vanlegvis på måtar som er vanskelege å gjenskape.

Installer pakkane distribusjonen din støttar, og skaff profilen frå operatøren. Handsama henne som ein legitimasjon, fordi ho vanlegvis inneheld ein privat nøkkel eller tilsvarande materiale, og oppbevar henne der resten av løyndomane dine bur. Ein profil som ligg att i ei nedlastingsmappe, er ein nøkkel som ligg att på ein skrivebord.

Kva du skal kontrollere når ho er oppe men ikkje verkar

Med grensesnittet oppe og klienten som rapporterer suksess, arbeid utover: vel rutetabellen tunnelen for destinasjonen, svarar resolvaren for det private namnet, og har den andre sida ein returveg. Kvar har sin eigen kommando og sin eigen eigar.

nmcli connection show --active
nmcli device status
wg show

nmcli-referansen dokumenterer status- og tilkoplingkommandoane viss du treng heile settet. Det som betyr noko her, er skiljet mellom at ein profil er aktiv og at ei eining ber trafikk, fordi dei to kan vere usamde.

Kople til på nytt éin gong gjennom den same behandlaren før du kallar oppsettet ferdig, og kontroller at DNS framleis verkar etter ein fråkopling. Ein konfigurasjon som berre verkar til den første nettverksendringa, er ikkje ferdig, han verkar berre i augneblinken.