Pi kama mteja wa VPN: msimamizi mmoja au script yako mwenyewe?

Raspberry Pi inayohitaji kulinda trafiki yake ya nje tu ina miundo miwili ya kweli: acha msimamizi wa mtandao amiliki handaki, au shikilia script inayoimiliki. Zote mbili zinaweza kubeba trafiki. Zinashindwa mahali tofauti, na hitilafu unayoweza kuipima kwa mbali saa mbili usiku ndiyo inayofaa kuchaguliwa. Linganisha kwa umiliki, kwa maana ya handaki kamili wakati IPv6 na DNS zinahusika, na kwa kile kinachotokea wakati handaki linapoanguka.

Wamiliki wawili kwa handaki moja

Muundo A ni wasifu ndani ya msimamizi wa mtandao wa mfumo: wasifu OpenVPN ulioingizwa au muunganisho asilia wa WireGuard, unaowashwa wakati wa kuwasha na huduma ile ile inayoinua Ethernet na Wi-Fi. Muundo B ni kitengo chako mwenyewe kinachoendesha mteja moja kwa moja, kikibadilisha usanidi wa kitatuzi na kusakinisha njia na kanuni zake za firewall. Zote mbili ni miundo halali; zinatofautiana kwa nani anaruhusiwa kubadilisha jedwali la uelekezaji.

Hitilafu zinatofautiana kwa sababu wamiliki wanatofautiana. Kwa A, wasifu usiowaka unaacha kiolesura juu na handaki chini, na kumbukumbu za msimamizi zinasema kwa nini. Kwa B, script inayofanikiwa nusu inaacha njia zinazoendelea kuishi baada ya mchakato ulioziumba. Kuendesha zote mbili ni matokeo mabaya zaidi: michakato miwili inaandika njia chaguo-msingi, marekebisho mawili ya kitatuzi yanashindana wakati wa kuwasha, na seti mbili za siri za kuzungusha.

Chagua mmiliki mmoja kwa handaki na uzime mwingine kabla ya kujaribu chochote. Wamiliki wawili pia inamaanisha mahali pawili pa kuangalia wakati handaki liko juu na hakuna kinachotatuliwa. Kanuni hiyo moja inazuia hali nyingi za kuchanganya zilizoelezwa katika mijadala ya Pi VPN.

Uingizaji unaunda nini, na haunaunda nini

Kwenye Raspberry Pi OS Bookworm na baadaye, chombo cha msingi cha usanidi wa mtandao ni NetworkManager, kwa hivyo wasifu ni nyumba ya asili ya handaki la mteja. Uingizaji unahitaji programu-jalizi inayofaa imesakinishwa; bila hiyo uingizaji unashindwa na ujumbe kuhusu aina ya muunganisho isiyoungwa mkono, ambayo ni ishara ya uaminifu ya kusimama na kusakinisha programu-jalizi.

nmcli connection import type openvpn file ./provider.ovpn
nmcli connection show
nmcli --ask connection up id provider-name

Uingizaji huhifadhi wasifu. Haithibitishi kuwa upande mwingine unafikika, na haihakikishi kwamba kila maagizo katika faili yalinusurika ubadilishaji. Soma muunganisho uliosababishwa na uangalie sehemu zinazobeba utambulisho na uaminifu: cheti, mwenyeji wa mbali na bandari, na ikiwa nenosiri linaulizwa au linahifadhiwa.

Uwashaji kwa --ask huweka maneno ya siri nje ya historia ya shell kwenye mashine inayoshirikiwa. Kwa Pi isiyo na uangalizi, mwishowe utataka wasifu uinuke wakati wa kuwasha, jambo ambalo ni uamuzi tofauti na kuinua mara moja kwa mkono.

Handaki kamili, ikilinganishwa katika miundo yote miwili

Handaki kamili ni madai kuhusu njia, si kuhusu nia, na miundo miwili inaeleza hilo kwa namna tofauti. Mbinu ya wasifu inamwomba msimamizi kusakinisha njia chaguo-msingi na mipangilio yake ya kitatuzi; mbinu ya script hufanya kile script inasema, ikiwemo kutofanya chochote. Hakuna muundo unaoshughulikia IPv6 isipoelekezwa, na njia chaguo-msingi ya IPv6 isiyoguswa itabeba trafiki nje ya handaki kwa furaha wakati IPv4 inaonekana kamilifu.

ip -4 route get 198.51.100.23
ip -6 route show default
resolvectl query example.org

Tumia anwani ya nyaraka kwa utafutaji wa njia na badilisha na mwenyeji unayeruhusiwa kuchunguza. Amri ya kwanza inaonyesha kiolesura ambacho Pi kingetumia kwa lengo la kawaida; ya pili inaonyesha ikiwa njia chaguo-msingi ya IPv6 bado ipo; ya tatu inathibitisha ni kitatuzi kipi kilijibu. Soma zote tatu kabla ya kuamini madai yoyote kuhusu handaki kamili.

Ikiwa maagizo ya mtoa huduma yanaahidi handaki kamili lakini njia chaguo-msingi ya IPv6 inabaki, Pi linavuja. Zima IPv6 kwenye kiungo cha juu au omba wasifu uidai, na uamue kwa makusudi badala ya kuigundua baadaye.

Kushindwa wazi dhidi ya kushindwa imefungwa

Wakati handaki linapoanguka, jedwali la uelekezaji linalopoteza njia yake chaguo-msingi hurudi tu kwenye kiungo halisi cha juu, na trafiki inaendelea wazi. Hiyo ni kushindwa wazi, na ni tabia chaguo-msingi ya miundo yote miwili isipokuwa kitu kikizuia. Watu wengi huigundua wiki chache baadaye kwa kusoma kumbukumbu ya firewall.

Kushindwa imefungwa hukupotezea ufikiaji wa mbali wakati handaki liko chini, kwa hivyo kunahitaji ubaguzi wa makusudi kwa njia ya usimamizi. Njia moja ni kanuni inayoruhusu tu anwani ya mwenzake wa VPN nje ya handaki:

sudo nft add table inet vpnkill
sudo nft 'add chain inet vpnkill out { type filter hook output priority 0; policy accept; }'
sudo nft add rule inet vpnkill out oifname != "tun0" ip daddr != 203.0.113.24 reject

Linganisha gharama ya uendeshaji kwa uaminifu. Wasifu kwa kawaida hauwezi kueleza kanuni hii, kwa hivyo kushindwa imefungwa kunakusukuma kwenye muundo wa script au kwenye kitengo kidogo kinachosakinisha kanuni bila kutegemea handaki. Kwa vyovyote vile, rekodi kukataliwa kwa wiki moja: kukataliwa kwa kimya kunaonekana sawa na huduma iliyovunjika, na utahitaji kihesabu wakati mtumiaji anaripoti kuwa tovuti moja imeacha kupakia.

Kuchagua kwa Pi isiyo na skrini

Ikiwa picha tayari inaendesha NetworkManager, handaki halihitaji kitu cha kigeni, na unataka lifuate kiungo cha juu kiotomatiki, chukua wasifu. Ikiwa unahitaji uelekezaji wa sera, handaki kadhaa zinazochaguliwa kwa kila lengo, au kanuni ya kushindwa imefungwa ambayo lazima iwepo kabla handaki halijainuka, chukua script na umiliki kila sehemu yake, ikiwemo mpangilio wa kuwasha na usafishaji. Kuchanganya miundo miwili kunagharimu zaidi kuliko kila mmoja peke yake.

Kuhamia kati yao ni hasa suala la mpangilio: zima mmiliki wa zamani, thibitisha kuwa hakuna njia au ingizo la kitatuzi lililopitwa na wakati lililobaki, kisha washa mpya na uanzishe upya mara mbili. Kuanzisha upya mara moja kunaweza kuficha mbio ambazo za pili huzifichua. Maliza kwa kujaribu Pi na si handaki: tatua jina, vuta kitu kupitia IPv4, vuta kupitia IPv6 ikiwa uliihifadhi, kisha uangushe handaki na uthibitishe kuwa tabia uliyochagua inatokea kweli. Kiolesura katika ip link ni mwanzo wa jaribio, si mwisho wake.