Pi si klient VPN: një menaxher apo një skript i vet?

Një Raspberry Pi që duhet të mbrojë vetëm trafikun e vet dalës ka dy dizajne realiste: lëreni menaxherin e rrjetit të zotërojë tunelin, ose mbani një skript që e zotëron. Të dy mund të mbajnë trafik. Dështojnë në vende të ndryshme, dhe dështimi që mund të diagnostikoni nga distanca në orën dy të mëngjesit është ai që ia vlen të zgjidhet. Krahasoni ata për pronësinë, për atë që do të thotë tunel i plotë kur përfshihen IPv6 dhe DNS, dhe për atë që ndodh në momentin kur tuneli bie.

Dy pronarë për një tunel

Dizajni A është një profil brenda menaxherit të rrjetit të sistemit: një profil OpenVPN i importuar ose një lidhje vendase WireGuard, e aktivizuar në nisje nga i njëjti shërbim që ngre Ethernet dhe Wi-Fi. Dizajni B është një njësi juaja që ekzekuton klientin drejtpërdrejt, redakton konfigurimin e zgjidhësit dhe instalon rrugët dhe rregullat e veta të murit të zjarrit. Të dy janë dizajne legjitime; ndryshojnë në atë se kujt i lejohet të ndryshojë tabelën e rrugëtimit.

Dështimet ndryshojnë sepse pronarët ndryshojnë. Me A, një profil që nuk aktivizohet lë ndërfaqen lart dhe tunelin poshtë, dhe regjistrat e menaxherit tregojnë pse. Me B, një skript që ka sukses gjysmë lë rrugë që i mbijetojnë procesit që i krijoi. T'i ekzekutosh të dy është rezultati më i keq: dy procese shkruajnë rrugën e paracaktuar, dy redaktime të zgjidhësit garojnë në nisje dhe dy grupe sekretesh duhen rrotulluar.

Zgjidhni një pronar për tunel dhe çaktivizoni tjetrin përpara se të testoni gjë. Dy pronarë nënkuptojnë gjithashtu dy vende për të shikuar kur tuneli është lart dhe asgjë nuk zgjidhet. Ky rregull i vetëm parandalon shumicën e gjendjeve konfuze të përshkruara në temat për Pi VPN.

Çfarë krijon një import dhe çfarë jo

Në Raspberry Pi OS Bookworm dhe më të rejat, mjeti i paracaktuar i konfigurimit të rrjetit është NetworkManager, prandaj një profil është shtëpia natyrale për një tunel klienti. Importi kërkon shtojcën përkatëse të instaluar; pa të importi dështon me një mesazh për një lloj lidhjeje të pambështetur, që është sinjali i ndershëm për të ndaluar dhe instaluar shtojcën.

nmcli connection import type openvpn file ./provider.ovpn
nmcli connection show
nmcli --ask connection up id provider-name

Importi ruan një profil. Nuk vërteton që ana tjetër është e arritshme, dhe nuk garanton që çdo direktivë në skedar i mbijetoi konvertimit. Lexoni lidhjen që rezultoi dhe kontrolloni pjesët që mbajnë identitetin dhe besimin: certifikatën, hostin dhe portin e largët, dhe nëse kërkohet apo ruhet një fjalëkalim.

Aktivizimi me --ask mban një frazëkalim jashtë historisë së shell-it në një makinë të ndarë. Për një Pi pa mbikëqyrje, përfundimisht do të dëshironi që profili të ngrihet në nisje, që është një vendim i veçantë nga ngritja e tij një herë me dorë.

Tunel i plotë, i krahasuar në të dy dizajnet

Një tunel i plotë është një pohim për rrugët, jo për qëllimin, dhe dy dizajnet e shprehin ndryshe. Qasja me profil i kërkon menaxherit të instalojë një rrugë të paracaktuar dhe cilësimet e zgjidhësit; qasja me skript bën atë që thotë skripti, përfshirë asgjë. Asnjë dizajn nuk mbulon IPv6 nëse nuk i thuhet, dhe një rrugë e paracaktuar IPv6 e paprekur do të mbajë me kënaqësi trafik jashtë tunelit ndërsa IPv4 duket i përsosur.

ip -4 route get 198.51.100.23
ip -6 route show default
resolvectl query example.org

Përdorni një adresë dokumentacioni për kërkimin e rrugës dhe zëvendësojeni me një host që ju lejohet të sondoni. Komanda e parë tregon cilën ndërfaqe do të përdorte Pi për një destinacion të zakonshëm; e dyta tregon nëse ekziston ende një rrugë e paracaktuar IPv6; e treta provon cili zgjidhës u përgjigj. Lexoni të tria përpara se të besoni ndonjë pohim për një tunel të plotë.

Nëse udhëzimet e ofruesit premtojnë një tunel të plotë por rruga e paracaktuar IPv6 mbijeton, Pi po rrjedh. Çaktivizoni IPv6 në lidhjen lart ose kërkoni nga profili ta kërkojë atë, dhe vendosni me qëllim në vend që ta zbuloni më vonë.

Dështim i hapur kundrejt të mbyllurit

Kur tuneli bie, një tabelë rrugëtimi që humbet rrugën e saj të paracaktuar thjesht kthehet në lidhjen fizike lart, dhe trafiku vazhdon hapur. Ky është dështim i hapur, dhe është sjellja e paracaktuar e të dy dizajneve nëse diçka nuk e pengon. Shumica e njerëzve e zbulojnë javë më vonë duke lexuar një regjistër të murit të zjarrit.

Dështimi i mbyllur ju kushton aksesin në distancë kur tuneli është poshtë, prandaj kërkon një përjashtim të qëllimshëm për rrugën e menaxhimit. Një mënyrë është një rregull që lejon vetëm adresën e partnerit VPN jashtë tunelit:

sudo nft add table inet vpnkill
sudo nft 'add chain inet vpnkill out { type filter hook output priority 0; policy accept; }'
sudo nft add rule inet vpnkill out oifname != "tun0" ip daddr != 203.0.113.24 reject

Krahasoni koston operacionale me ndershmëri. Një profil zakonisht nuk mund ta shprehë këtë rregull, prandaj dështimi i mbyllur ju shtyn drejt dizajnit me skript ose drejt një njësie të vogël që instalon rregullin pavarësisht nga tuneli. Në çdo rast, regjistroni refuzimet për një javë: një refuzim i heshtur duket identik me një shërbim të prishur, dhe do t'ju duhet numëruesi kur një përdorues raporton se një sajt ndaloi së ngarkuari.

Zgjedhja për një Pi pa ekran

Nëse imazhi ekzekuton tashmë NetworkManager, tuneli nuk kërkon asgjë ekzotike dhe dëshironi që ai të ndjekë automatikisht lidhjen lart, merrni profilin. Nëse ju nevojitet rrugëtim sipas politikave, disa tunele të zgjedhur sipas destinacionit, ose një rregull i dështimit të mbyllur që duhet të ekzistojë përpara se tuneli të ngrihet, merrni skriptin dhe zotëroni çdo pjesë të tij, duke përfshirë rendin e nisjes dhe pastrimin. Përzierja e dy dizajneve kushton më shumë se secili vetëm.

Migrimi mes tyre është kryesisht çështje rendi: çaktivizoni pronarin e vjetër, konfirmoni se nuk mbijeton asnjë rrugë ose zë zgjidhësi i vjetëruar, më pas aktivizoni të riun dhe rindizni dy herë. Një rindizje e vetme mund të fshehë një garë që e zbulon e dyta. Përfundoni duke testuar Pi dhe jo tunelin: zgjidhni një emër, merrni diçka përmes IPv4, merrni përmes IPv6 nëse e mbatët, më pas hidhni tunelin dhe konfirmoni se sjellja që zgjodhët ndodh vërtet. Një ndërfaqe në ip link është fillimi i testit, jo fundi.