Što se zapravo događa kada pokrenete VPN na Linuxu

Pritisnete poveži i na Linux stroju mijenjaju se tri stvari: pojavljuje se sučelje, instaliraju se rute i razrješivač počinje odgovarati drugačije. Većina neuspjeha pri postavljanju dolazi od toga da se jedno od tih troje dogodi bez ostalih ili da se dva programa ne slažu oko toga koga posjeduju. Razumijevanje slijeda objašnjava neuspjeh brže od čitanja izlaza iz dnevnika klijenta.

Sučelje se pojavljuje prije nego što bilo što radi

Klijent tunela otvara virtualno sučelje i predaje mu pakete. TUN uređaj nosi IP pakete, što je ono što rutirani VPN treba; TAP uređaj nosi Ethernet okvire, što je ono što premosni dizajn treba. Kernel modul pruža uređaj, a klijent ga posjeduje dok god sesija traje.

Podizanje sučelja nije isto što i rad tunela. Može postojati s adresom dok je partner nedostupan, i zato je popis sučelja prva provjera, a ne posljednja. Uređaj koji se prijavljuje kao podignut opisuje pogled kernela na virtualnu vezu, a ne spremnost partnera da odgovori.

Ostavite isporučeni način rada sučelja na miru. Pretvaranje TUN profila u TAP ne pretvara rutirani poslužitelj u premosni i obično daje vezu koja se uspostavi i ništa ne prosljeđuje.

Rute instalira onaj koji posjeduje tunel

Rute su druga promjena i njihovo vlasništvo važnije je od sadržaja. NetworkManager profil, systemd jedinica i ručno pokrenut klijent mogu svi instalirati rute, a kada to dvoje čine istodobno, nastaje tablica koju kasnije nitko ne može objasniti.

ip -br addr show
ip route show
ip -6 route show

Profil punog tunela zamjenjuje zadanu rutu; profil podijeljenog tunela dodaje konkretnije rute i ostavlja zadanu na miru. Oba su normalna, a drugo je razlog zašto je brisanje zadane rute loš prvi test na stroju kojim upravljate na daljinu. Uklanjanje je i najbrži način da izgubite sesiju koju koristite za popravak problema.

Čitajte tablicu umjesto da pretpostavljate. Konkretnija ruta ili pravilo politike može poslati promet u tunel dok zadana ruta još pokazuje na fizičko sučelje, što izgleda proturječno dok ne pročitate cijelu tablicu. Ta je kombinacija normalna za podijeljeni tunel i zbunjuje svakoga tko očekuje da jedan redak opiše dizajn. Tražite rutu koja odgovara vašem stvarnom odredištu, a ne onu koja odgovara dijagramu.

Razrješivač mijenja vlasnika

DNS je treća promjena i ona kojom se najvjerojatnije upravlja negdje gdje niste gledali. Na radnoj površini NetworkManager može slati postavke razrješivača po vezi. Na sustavu koji koristi systemd-resolved postavke se primjenjuju po vezi i /etc/resolv.conf može biti stub ili simbolička veza, a ne datoteka koju biste trebali uređivati.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Ako ručna izmjena datoteke razrješivača nestane nakon ponovnog povezivanja, to je signal da pronađete komponentu koja je održava i umjesto toga promijenite profil. Uređivanje generirane datoteke promjena je koju će ponovno povezivanje izbrisati.

Privatna imena obično trebaju interni razrješivač i domene pretraživanja koje je dao operator. Zamjena javnim razrješivačem može pokvariti upravo onaj resurs zbog kojeg VPN postoji, a simptom izgleda kao neuspjeh usmjeravanja, a ne DNS-a. Testirajte ime i adresu odvojeno, jer jedno koje radi i drugo koje ne uspijeva točno vam kaže gdje gledati. Ta jedna usporedba štedi sat vremena otklanjanja pogrešaka s rutama.

Jedan upravitelj po vezi

Format profila odlučuje koji ga program može koristiti. OpenVPN profil traži OpenVPN ili kompatibilan dodatak, a WireGuard konfiguracija ima svoj format s ključevima partnera i dopuštenim prefiksima. Dijalog za uvoz ne prevodi jedno u drugo, što god produžetak datoteke sugerirao.

Odaberite jedan upravitelj i pustite ga da posjeduje vezu. Podizanje istog tunela kroz dva alata čini tablicu ruta i ponašanje pri ponovnom povezivanju nejasnima, a drugi koji počne obično pobjeđuje na načine koje je teško reproducirati.

Instalirajte pakete koje vaša distribucija podržava i pribavite profil od operatora. Tretirajte ga kao vjerodajnicu, jer obično sadrži privatni ključ ili ekvivalentan materijal, i čuvajte ga tamo gdje žive ostale vaše tajne. Profil ostavljen u mapi za preuzimanja ključ je ostavljen na stolu.

Što provjeriti kada je podignuto ali ne radi

S podignutim sučeljem i klijentom koji prijavljuje uspjeh, radite prema van: bira li tablica ruta tunel za odredište, odgovara li razrješivač za privatno ime i ima li druga strana povratni put. Svako ima zaseban nalog i zasebnog vlasnika.

nmcli connection show --active
nmcli device status
wg show

nmcli referenca dokumentira naredbe statusa i veze ako vam treba cijeli skup. Ovdje je važna razlika između aktivnog profila i uređaja koji nosi promet, jer se njih dvoje mogu razilaziti.

Ponovno se povežite jednom kroz isti upravitelj prije nego što postavljanje nazovete dovršenim, i provjerite da DNS još radi nakon prekida veze. Konfiguracija koja radi samo do prve promjene mreže nije dovršena, ona samo trenutačno radi.