Čo sa skutočne stane, keď v Linuxe spustíte VPN

Stlačte pripojiť a na stroji s Linuxom sa zmenia tri veci: objaví sa rozhranie, nainštalujú sa trasy a resolver začne odpovedať inak. Väčšina zlyhaní pri nastavení pochádza z toho, že jedna z tých troch vecí nastane bez ostatných, alebo že sa dva programy nezhodnú na tom, kto ich vlastní. Pochopenie postupnosti vysvetlí zlyhanie rýchlejšie než čítanie výstupu z logu klienta.

Rozhranie sa objaví skôr, než čokoľvek funguje

Klient tunela otvorí virtuálne rozhranie a odovzdá mu pakety. Zariadenie TUN prenáša pakety IP, čo je to, čo smerovaná VPN potrebuje; zariadenie TAP prenáša ethernetové rámce, čo je to, čo potrebuje mostíkový návrh. Modul jadra poskytuje zariadenie a klient ho vlastní po celý čas trvania relácie.

Nabehnutie rozhrania nie je to isté ako fungujúci tunel. Môže existovať s adresou, kým je protiľahlá strana nedostupná, a preto je zoznam rozhraní prvou kontrolou, nie poslednou. Zariadenie, ktoré hlási, že je hore, opisuje pohľad jadra na virtuálne spojenie, nie ochotu protiľahlej strany odpovedať.

Dodaný režim rozhrania nechajte tak. Zmena profilu TUN na TAP neurobí zo smerovaného servera mostíkový a zvyčajne vznikne spojenie, ktoré sa nadviaže a nič nepreposiela.

Trasy inštaluje ten, kto vlastní tunel

Trasy sú druhá zmena a ich vlastníctvo je dôležitejšie než ich obsah. Profil NetworkManageru, jednotka systemd a ručne spustený klient môžu všetci inštalovať trasy, a keď to dvaja z nich robia naraz, vznikne tabuľka, ktorú potom nikto nevysvetlí.

ip -br addr show
ip route show
ip -6 route show

Profil plného tunela nahradí predvolenú trasu; profil rozdeleného tunela pridá konkrétnejšie trasy a predvolenú trasu nechá tak. Oba sú normálne a druhý je dôvod, prečo je zmazanie predvolenej trasy zlým prvým testom na stroji, ktorý spravujete vzdialene. Odstránenie je tiež najrýchlejší spôsob, ako stratiť reláciu, ktorú používate na opravu problému.

Čítajte tabuľku, namiesto toho aby ste predpokladali. Konkrétnejšia trasa alebo pravidlo politiky môže posielať prevádzku do tunela, kým predvolená trasa stále ukazuje na fyzické rozhranie, čo vyzerá protirečivo, kým neprečítate celú tabuľku. Taká kombinácia je pre rozdelený tunel normálna a mätie každého, kto očakáva, že jeden riadok opíše návrh. Hľadajte trasu, ktorá zodpovedá vášmu skutočnému cieľu, nie tú, ktorá zodpovedá diagramu.

Resolver mení majiteľa

DNS je tretia zmena a tá, ktorá sa najpravdepodobnejšie spravuje niekde, kam ste sa nepozreli. Na desktope môže NetworkManager posielať nastavenia resolvera pre každé pripojenie. V systéme s systemd-resolved sa nastavenia uplatňujú pre každé spojenie a /etc/resolv.conf môže byť zástupný súbor alebo symbolický odkaz, nie súbor, ktorý by ste mali upravovať.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Ak ručná úprava súboru resolvera po opätovnom pripojení zmizne, je to signál nájsť komponent, ktorý ho udržiava, a namiesto toho zmeniť profil. Úprava generovaného súboru je zmena, ktorú opätovné pripojenie zmaže.

Súkromné názvy zvyčajne potrebujú interný resolver a vyhľadávacie domény, ktoré dodal operátor. Nahradenie verejným resolverom môže pokaziť práve ten zdroj, pre ktorý VPN existuje, a príznak vyzerá ako zlyhanie smerovania, nie DNS. Otestujte názov a adresu oddelene, pretože to, že jedno funguje a druhé zlyháva, vám presne povie, kam sa pozerať. To jedno porovnanie ušetrí hodinu ladenia trás.

Jeden správca na pripojenie

Formát profilu rozhoduje, ktorý program ho môže použiť. Profil OpenVPN potrebuje OpenVPN alebo kompatibilný doplnok a konfigurácia WireGuard má vlastný formát s kľúčmi protiľahlej strany a povolenými predponami. Importný dialóg neprekladá jedno do druhého, nech už prípona súboru naznačuje čokoľvek.

Vyberte jedného správcu a nechajte ho vlastniť pripojenie. Keď ten istý tunel zdvihnete dvoma nástrojmi, tabuľka trás a správanie pri opätovnom pripojení budú nejednoznačné, a zvyčajne vyhrá ten druhý, ktorý sa spustí, spôsobmi, ktoré sa ťažko reprodukujú.

Nainštalujte balíčky, ktoré vaša distribúcia podporuje, a získajte profil od operátora. Berte ho ako prihlasovací údaj, pretože zvyčajne obsahuje súkromný kľúč alebo rovnocenný materiál, a uložte ho tam, kde žijú ostatné vaše tajomstvá. Profil ponechaný v priečinku sťahovania je kľúč ponechaný na stole.

Čo skontrolovať, keď je hore, ale nefunguje

S rozhraním hore a klientom hlásiacim úspech postupujte smerom von: vyberá tabuľka trás tunel pre cieľ, odpovedá resolver na súkromný názov a má protiľahlá strana spätnú cestu. Každé má samostatný príkaz a samostatného vlastníka.

nmcli connection show --active
nmcli device status
wg show

Referencia nmcli dokumentuje príkazy stavu a pripojenia, ak potrebujete celú sadu. Dôležité je tu rozlíšenie medzi aktívnym profilom a zariadením, ktoré prenáša prevádzku, pretože obe sa môžu rozchádzať.

Pripojte sa raz znova cez toho istého správcu, než nastavenie vyhlásite za hotové, a overte, že DNS funguje aj po odpojení. Konfigurácia, ktorá funguje len do prvej zmeny siete, nie je hotová, len práve teraz funguje.