Kaj se v resnici zgodi, ko v Linuxu zaženete VPN

Pritisnite poveži in na napravi Linux se spremenijo tri stvari: pojavi se vmesnik, namestijo se poti in razreševalnik začne odgovarjati drugače. Večina napak pri namestitvi izvira iz tega, da se ena od teh treh zgodi brez drugih, ali iz tega, da se dva programa ne strinjata, kdo jih ima v lasti. Razumevanje zaporedja pojasni napako hitreje kot branje izpisa dnevnika odjemalca.

Vmesnik se pojavi, preden kar koli deluje

Odjemalec tunela odpre navidezni vmesnik in mu preda pakete. Naprava TUN prenaša pakete IP, kar potrebuje usmerjeni VPN; naprava TAP prenaša okvire Ethernet, kar potrebuje mostna zasnova. Jedrni modul zagotovi napravo, odjemalec pa jo ima v lasti, dokler traja seja.

Dvig vmesnika ni isto kot delujoč tunel. Lahko obstaja z naslovom, medtem ko je partner nedosegljiv, in zato je seznam vmesnikov prvo preverjanje in ne zadnje. Naprava, ki sporoča, da je dvignjena, opisuje pogled jedra na navidezno povezavo, ne pripravljenosti partnerja, da odgovori.

Pustite dobavljeni način vmesnika pri miru. Spreminjanje profila TUN v TAP ne naredi usmerjenega strežnika mostnega in običajno ustvari povezavo, ki se vzpostavi in ničesar ne posreduje.

Poti namesti tisti, ki ima tunel v lasti

Poti so druga sprememba in njihovo lastništvo je pomembnejše od vsebine. Profil NetworkManager, enota systemd in ročno zagnani odjemalec lahko vsi namestijo poti, in ko to počneta dva hkrati, nastane tabela, ki je pozneje nihče ne zna pojasniti.

ip -br addr show
ip route show
ip -6 route show

Profil polnega tunela zamenja privzeto pot; profil razdeljenega tunela doda bolj specifične poti in privzeto pusti pri miru. Oba sta običajna, in drugo je razlog, da je brisanje privzete poti slab prvi preizkus na napravi, ki jo upravljate na daljavo. Odstranitev je tudi najhitrejši način, da izgubite sejo, ki jo uporabljate za odpravo težave.

Berite tabelo, namesto da bi domnevali. Bolj specifična pot ali pravilo politike lahko pošlje promet v tunel, medtem ko privzeta pot še vedno kaže na fizični vmesnik, kar se zdi protislovno, dokler ne preberete celotne tabele. Ta kombinacija je običajna za razdeljeni tunel in zmede vsakogar, ki pričakuje, da bo ena vrstica opisala zasnovo. Poiščite pot, ki ustreza vašemu dejanskemu cilju, ne tiste, ki ustreza diagramu.

Razreševalnik zamenja lastnika

DNS je tretja sprememba in tista, ki se najverjetneje upravlja nekje, kjer niste pogledali. Na namizju lahko NetworkManager pošilja nastavitve razreševalnika za vsako povezavo. V sistemu s systemd-resolved se nastavitve uporabijo za vsako povezavo in /etc/resolv.conf je lahko nadomestni vmesnik ali simbolna povezava, ne datoteka, ki bi jo morali urejati.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Če ročna sprememba datoteke razreševalnika po ponovni povezavi izgine, je to znak, da poiščete komponento, ki jo vzdržuje, in namesto tega spremenite profil. Urejanje ustvarjene datoteke je sprememba, ki jo bo ponovna povezava izbrisala.

Zasebna imena običajno potrebujejo notranji razreševalnik in iskalne domene, ki jih je zagotovil operater. Zamenjava z javnim razreševalnikom lahko pokvari prav tisti vir, zaradi katerega VPN obstaja, in simptom je videti kot napaka usmerjanja in ne kot napaka DNS. Preizkusite ime in naslov ločeno, ker vam to, da eno deluje in drugo ne uspe, natančno pove, kam gledati. Ta ena primerjava prihrani uro odpravljanja napak s potmi.

En upravljalnik na povezavo

Oblika profila odloči, kateri program ga lahko uporablja. Profil OpenVPN potrebuje OpenVPN ali združljiv vtičnik, konfiguracija WireGuard pa ima svojo obliko s ključi partnerja in dovoljenimi predponami. Pogovorno okno za uvoz ne pretvori enega v drugo, kar koli nakazuje končnica datoteke.

Izberite en upravljalnik in mu prepustite povezavo. Dvigovanje istega tunela z dvema orodjema naredi tabelo poti in vedenje ob ponovni povezavi dvoumna, in običajno zmaga drugi, ki se zažene, na načine, ki jih je težko poustvariti.

Namestite pakete, ki jih podpira vaša distribucija, in pridobite profil pri operaterju. Obravnavajte ga kot poverilnico, ker običajno vsebuje zasebni ključ ali enakovreden material, in ga hranite tam, kjer živijo druge vaše skrivnosti. Profil, puščen v mapi za prenose, je ključ, puščen na mizi.

Kaj preveriti, ko je dvignjeno, a ne deluje

Ko je vmesnik dvignjen in odjemalec poroča o uspehu, delajte navzven: ali tabela poti izbere tunel za cilj, ali razreševalnik odgovori za zasebno ime in ali ima druga stran pot nazaj. Vsako ima svoj ukaz in svojega lastnika.

nmcli connection show --active
nmcli device status
wg show

Referenca nmcli dokumentira ukaze stanja in povezave, če potrebujete celoten nabor. Tu je pomembno razlikovanje med aktivnim profilom in napravo, ki prenaša promet, ker se lahko oba razhajata.

Povežite se enkrat znova prek istega upravljalnika, preden namestitev razglasite za končano, in preverite, ali DNS po prekinitvi še deluje. Konfiguracija, ki deluje le do prve spremembe omrežja, ni končana, le trenutno deluje.