Шта се заиста дешава када покренете VPN на Linux-у

Притисните повежи и на Linux машини се мењају три ствари: појављује се интерфејс, инсталирају се руте и resolver почиње да одговара другачије. Већина неуспеха при подешавању долази отуда што се једно од та три догоди без осталих, или што се два програма не слажу око тога коме припадају. Разумевање редоследа објашњава неуспех брже од читања излаза дневника клијента.

Интерфејс се појављује пре него што било шта почне да ради

Клијент тунела отвара виртуелни интерфејс и предаје му пакете. TUN уређај преноси IP пакете, што је оно што треба рутираном VPN-у; TAP уређај преноси Ethernet оквире, што је оно што треба мостовном дизајну. Кернел модул обезбеђује уређај, а клијент га поседује док год сесија траје.

Подизање интерфејса није исто што и тунел који ради. Он може постојати са адресом док је партнер недоступан, и зато је листа интерфејса прва провера, а не последња. Уређај који се пријављује као подигнут описује поглед кернела на виртуелну везу, а не спремност партнера да одговори.

Оставите достављени режим интерфејса како јесте. Претварање TUN профила у TAP не чини рутирани сервер мостовним и обично даје везу која се успостави и ништа не прослеђује.

Руте инсталира онај ко поседује тунел

Руте су друга промена и њихово власништво је важније од садржаја. NetworkManager профил, systemd јединица и ручно покренут клијент могу сви да инсталирају руте, и када то двоје чине истовремено, настаје табела коју касније нико не може да објасни.

ip -br addr show
ip route show
ip -6 route show

Профил пуног тунела замењује подразумевану руту; профил подељеног тунела додаје конкретније руте и оставља подразумевану на миру. Оба су нормална, а друго је разлог зашто је брисање подразумеване руте лош први тест на машини којом управљате на даљину. Њено уклањање је и најбржи начин да изгубите сесију коју користите да поправите проблем.

Читајте табелу уместо да претпостављате. Конкретнија рута или правило политике могу да пошаљу саобраћај у тунел док подразумевана рута још показује на физички интерфејс, што изгледа противречно док не прочитате целу табелу. Та комбинација је нормална за подељени тунел и збуњује свакога ко очекује да једна линија опише дизајн. Тражите руту која одговара вашем стварном одредишту, не ону која одговара дијаграму.

Resolver мења руке

DNS је трећа промена и она која се највероватније управља негде где нисте погледали. На десктопу NetworkManager може да шаље поставке resolver-а по вези. На систему који користи systemd-resolved поставке се примењују по вези и /etc/resolv.conf може бити заглушка или симболичка веза, а не датотека коју би требало да уређујете.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Ако ручна измена датотеке resolver-а нестане после поновног повезивања, то је сигнал да пронађете компоненту која је одржава и уместо тога промените профил. Уређивање генерисане датотеке је промена коју ће поновно повезивање избрисати.

Приватна имена обично траже интерни resolver и домене претраге које је дао оператер. Замена јавним resolver-ом може да поквари управо онај ресурс због којег VPN постоји, а симптом изгледа као неуспех рутирања, а не DNS-а. Тестирајте име и адресу одвојено, јер то што једно ради а друго не успева тачно вам каже где да гледате. То једно поређење штеди сат времена отклањања грешака са рутама.

Један менаџер по вези

Формат профила одлучује који програм може да га користи. OpenVPN профилу треба OpenVPN или компатибилан додатак, а WireGuard конфигурација има свој формат са кључевима партнера и дозвољеним префиксима. Дијалог за увоз не преводи једно у друго, шта год сугерисала наставка датотеке.

Изаберите један менаџер и пустите га да поседује везу. Подизање истог тунела кроз два алата чини табелу рута и понашање при поновном повезивању нејасним, а обично побеђује други који почне, на начине које је тешко репродуковати.

Инсталирајте пакете које ваша дистрибуција подржава и набавите профил од оператера. Третирајте га као акредитив, јер обично садржи приватни кључ или еквивалентан материјал, и чувајте га тамо где живе остале ваше тајне. Профил остављен у фасцикли за преузимања је кључ остављен на столу.

Шта проверити када је подигнуто али не ради

Са подигнутим интерфејсом и клијентом који пријављује успех, радите према споља: да ли табела рута бира тунел за одредиште, да ли resolver одговара за приватно име и да ли друга страна има повратни пут. Свако има засебну команду и засебног власника.

nmcli connection show --active
nmcli device status
wg show

Референца за nmcli документује команде статуса и везе ако вам треба цео скуп. Овде је важна разлика између активног профила и уређаја који носи саобраћај, јер се њих двоје могу разилазити.

Поново се повежите једном кроз исти менаџер пре него што подешавање назовете завршеним, и проверите да DNS још ради након прекида везе. Конфигурација која ради само до прве промене мреже није завршена, она само тренутно ради.