Çfarë ndodh në të vërtetë kur hapni një VPN në Linux

Shtypni lidhu dhe në një makinë Linux ndryshojnë tri gjëra: shfaqet një ndërfaqe, instalohen rrugët dhe zgjidhësi fillon të përgjigjet ndryshe. Shumica e dështimeve të konfigurimit vijnë nga fakti që njëra prej këtyre të trejave ndodh pa të tjerat, ose nga fakti që dy programe nuk bien dakord se kush i zotëron ato. Të kuptuarit e rendit e shpjegon dështimin më shpejt sesa leximi i daljes së regjistrit të një klienti.

Një ndërfaqe shfaqet para se të funksionojë çdo gjë

Një klient tuneli hap një ndërfaqe virtuale dhe i dorëzon paketa. Një pajisje TUN mbart paketa IP, që është ajo që i duhet një VPN të rrugëzuar; një pajisje TAP mbart korniza Ethernet, që është ajo që i duhet një dizajni me urë. Moduli i kernelit siguron pajisjen, dhe klienti e zotëron atë sa zgjat sesioni.

Ngritja e ndërfaqes nuk është e njëjta gjë me tunelin që funksionon. Ajo mund të ekzistojë me një adresë ndërsa pala tjetër është e paarritshme, dhe për këtë arsye lista e ndërfaqeve është kontrolli i parë dhe jo i fundit. Një pajisje që raporton veten lart përshkruan pikëpamjen e kernelit për një lidhje virtuale, jo gatishmërinë e palës tjetër për t'u përgjigjur.

Lëreni modalitetin e ndërfaqes të furnizuar ashtu siç është. Kalimi i një profili TUN në TAP nuk e kthen një server të rrugëzuar në një me urë, dhe zakonisht prodhon një lidhje që vendoset dhe nuk përçon asgjë.

Rrugët i instalon ai që zotëron tunelin

Rrugët janë ndryshimi i dytë, dhe pronësia e tyre ka më shumë rëndësi sesa përmbajtja. Një profil NetworkManager, një njësi systemd dhe një klient i nisur me dorë mund të instalojnë të gjithë rrugë, dhe kur dy prej tyre e bëjnë këtë njëkohësisht, krijohet një tabelë që askush nuk mund ta shpjegojë më vonë.

ip -br addr show
ip route show
ip -6 route show

Një profil tuneli i plotë zëvendëson rrugën e paracaktuar; një profil tuneli i ndarë shton rrugë më specifike dhe e lë të paracaktuarën në qetësi. Të dyja janë normale, dhe e dyta është arsyeja pse fshirja e një rrugë të paracaktuar është një provë e parë e dobët në një makinë që e administroni në distancë. Heqja e saj është gjithashtu mënyra më e shpejtë për të humbur sesionin që përdorni për të rregulluar problemin.

Lexoni tabelën në vend që të supozoni. Një rrugë më specifike ose një rregull politike mund ta dërgojë trafikun në tunel ndërsa rruga e paracaktuar vazhdon të tregojë ndërfaqen fizike, gjë që duket kontradiktore derisa të lexoni të gjithë tabelën. Ky kombinim është normal për tunelin e ndarë dhe çorientues për këdo që pret që një rresht të përshkruajë dizajnin. Kërkoni rrugën që përputhet me destinacionin tuaj real, jo atë që përputhet me diagramin.

Zgjidhësi ndryshon duar

DNS është ndryshimi i tretë dhe ai që ka më shumë gjasa të menaxhohet diku ku nuk keni parë. Në një desktop, NetworkManager mund t'i shtyjë cilësimet e zgjidhësit për çdo lidhje. Në një sistem që përdor systemd-resolved, cilësimet aplikohen për çdo lidhje dhe /etc/resolv.conf mund të jetë një stub ose një lidhje simbolike dhe jo një skedar që duhet ta modifikoni.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Nëse një modifikim manual i skedarit të zgjidhësit zhduket pas një rilidhjeje, ai është sinjali për të gjetur komponentin që e mirëmban atë dhe për të ndryshuar profilin në vend të kësaj. Modifikimi i skedarit të gjeneruar është një ndryshim që një rilidhje do ta fshijë.

Emrat privatë zakonisht kanë nevojë për zgjidhësin e brendshëm dhe domenet e kërkimit që ka siguruar operatori. Zëvendësimi me një zgjidhës publik mund të prishë pikërisht burimin për të cilin ekziston VPN, dhe simptoma duket si dështim rrugëzimi dhe jo si dështim DNS. Provoni emrin dhe adresën veçmas, sepse fakti që njëri funksionon dhe tjetri dështon ju tregon saktësisht ku të shikoni. Ai krahasim i vetëm kursen një orë korrigjimi të rrugëve.

Një menaxher për lidhje

Formati i profilit vendos cili program mund ta përdorë. Një profil OpenVPN kërkon OpenVPN ose një shtojcë të përputhshme, dhe një konfigurim WireGuard ka formatin e vet me çelësat e palës tjetër dhe prefikset e lejuara. Një dritare importimi nuk e përkthen njërin në tjetrin, çfarëdo që sugjeron zgjatimi i skedarit.

Zgjidhni një menaxher dhe lëreni të zotërojë lidhjen. Ngritja e të njëjtit tunel përmes dy mjeteve i bën tabelën e rrugëve dhe sjelljen e rilidhjes të paqarta, dhe zakonisht fiton i dyti që niset, në mënyra të vështira për t'u riprodhuar.

Instaloni paketat që mbështet shpërndarja juaj dhe merrni profilin nga operatori. Trajtojeni si një kredencial, sepse zakonisht përmban një çelës privat ose material ekuivalent, dhe ruajeni atje ku jetojnë sekretet e tjera tuaja. Një profil i lënë në një dosje shkarkimesh është një çelës i lënë mbi një tavolinë.

Çfarë të kontrolloni kur është lart por nuk funksionon

Me ndërfaqen lart dhe klientin që raporton sukses, punoni nga jashtë: a e zgjedh tabela e rrugëve tunelin për destinacionin, a përgjigjet zgjidhësi për emrin privat, dhe a ka ana tjetër një rrugë kthimi. Secili ka komandën e vet dhe pronarin e vet.

nmcli connection show --active
nmcli device status
wg show

Referenca e nmcli dokumenton komandat e statusit dhe të lidhjes nëse ju duhet grupi i plotë. Ajo që ka rëndësi këtu është dallimi midis një profili aktiv dhe një pajisjeje që mbart trafik, sepse të dyja mund të mos përputhen.

Rilidhuni një herë përmes të njëjtit menaxher përpara se ta quani konfigurimin të përfunduar, dhe kontrolloni që DNS vazhdon të funksionojë pas një shkëputjeje. Një konfigurim që funksionon vetëm deri në ndryshimin e parë të rrjetit nuk është i përfunduar, ai thjesht funksionon në këtë moment.