Linux'ta VPN başlattığınızda gerçekte neler olur

Bağlan'a basın ve bir Linux makinesinde üç şey değişir: bir arayüz görünür, yollar kurulur ve çözümleyici farklı yanıt vermeye başlar. Kurulum hatalarının çoğu bu üçünden birinin diğerleri olmadan gerçekleşmesinden ya da iki programın bunların kime ait olduğu konusunda anlaşamamasından kaynaklanır. Sıralamayı anlamak, hatayı bir istemcinin günlük çıktısını okumaktan daha hızlı açıklar.

Herhangi bir şey çalışmadan önce bir arayüz görünür

Bir tünel istemcisi sanal bir arayüz açar ve paketleri ona verir. TUN aygıtı IP paketlerini taşır, yönlendirilmiş bir VPN'nin ihtiyacı budur; TAP aygıtı Ethernet çerçevelerini taşır, köprülenmiş bir tasarımın ihtiyacı budur. Çekirdek modülü aygıtı sağlar ve oturum sürdüğü sürece istemci ona sahiptir.

Arayüzün yukarı gelmesi, tünelin çalışmasıyla aynı şey değildir. Eş erişilemezken bile bir adresle var olabilir ve bu yüzden arayüz listesi son değil ilk kontroldür. Kendini yukarıda bildiren bir aygıt, çekirdeğin sanal bir bağlantıya bakışını anlatır, eşin yanıt verme istekliliğini değil.

Verilen arayüz kipini olduğu gibi bırakın. Bir TUN profilini TAP'a çevirmek yönlendirilmiş bir sunucuyu köprülenmiş yapmaz ve genellikle kurulan ama hiçbir şey iletmeyen bir bağlantı üretir.

Yolları tünelin sahibi kurar

Yollar ikinci değişikliktir ve sahipliği içeriğinden daha önemlidir. Bir NetworkManager profili, bir systemd birimi ve elle çalıştırılan bir istemci yolları kurabilir ve ikisi bunu aynı anda yaparsa kimsenin sonradan açıklayamayacağı bir tablo oluşur.

ip -br addr show
ip route show
ip -6 route show

Tam tünel profili varsayılan yolu değiştirir; bölünmüş tünel profili daha belirgin yollar ekler ve varsayılanı olduğu gibi bırakır. İkisi de normaldir ve ikincisi, uzaktan yönettiğiniz bir makinede varsayılan yolu silmenin neden kötü bir ilk test olduğunu açıklar. Onu kaldırmak aynı zamanda sorunu düzeltmek için kullandığınız oturumu kaybetmenin en hızlı yoludur.

Varsaymak yerine tabloyu okuyun. Daha belirgin bir yol veya bir ilke kuralı, varsayılan yol hâlâ fiziksel arayüzü gösterirken trafiği tünele gönderebilir, bu da tüm tabloyu okuyana kadar çelişkili görünür. Bu bileşim bölünmüş tünel için normaldir ve tasarımı tek satırla anlatmasını bekleyenler için kafa karıştırıcıdır. Gerçek hedefinize uyan yolu arayın, şemaya uyanı değil.

Çözümleyici el değiştirir

DNS üçüncü değişikliktir ve bakmadığınız bir yerde yönetilme olasılığı en yüksek olandır. Masaüstünde NetworkManager, çözümleyici ayarlarını her bağlantı için gönderebilir. systemd-resolved kullanan bir sistemde ayarlar her bağlantı için uygulanır ve /etc/resolv.conf düzenlemeniz gereken bir dosya değil bir stub veya sembolik bağlantı olabilir.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Çözümleyici dosyasına elle yapılan bir düzenleme yeniden bağlanmadan sonra kaybolursa, bu onu sürdüren bileşeni bulup bunun yerine profili değiştirmenin işaretidir. Üretilen dosyayı düzenlemek, yeniden bağlanmanın sileceği bir değişikliktir.

Özel adlar genellikle iç çözümleyiciye ve işletmecinin sağladığı arama alan adlarına ihtiyaç duyar. Genel bir çözümleyiciyle değiştirmek, VPN'nin var olma nedenini oluşturan kaynağı bozabilir ve belirti DNS hatası değil yönlendirme hatası gibi görünür. Adı ve adresi ayrı ayrı test edin, çünkü birinin çalışıp diğerinin başarısız olması nereye bakmanız gerektiğini tam olarak söyler. Bu tek karşılaştırma bir saatlik yol hata ayıklamasından tasarruf sağlar.

Bağlantı başına bir yönetici

Profil biçimi hangi programın onu kullanabileceğine karar verir. Bir OpenVPN profili OpenVPN veya uyumlu bir eklenti gerektirir, WireGuard yapılandırmasının ise eş anahtarları ve izin verilen öneklerle kendi biçimi vardır. Dosya uzantısı ne öne sürerse sürsün, bir içe aktarma penceresi birini diğerine çevirmez.

Bir yönetici seçin ve bağlantının sahibi o olsun. Aynı tüneli iki araçla yukarı kaldırmak yol tablosunu ve yeniden bağlanma davranışını belirsiz kılar ve genellikle ikinci başlayan, yeniden üretilmesi zor biçimlerde kazanır.

Dağıtımınızın desteklediği paketleri kurun ve profili işletmeciden alın. Ona bir kimlik bilgisi gibi davranın, çünkü genellikle özel bir anahtar veya eşdeğer malzeme içerir ve diğer sırlarınızın yaşadığı yerde saklayın. İndirilenler klasöründe bırakılan bir profil, masada bırakılmış bir anahtardır.

Yukarıda olduğu halde çalışmadığında neyi kontrol etmeli

Arayüz yukarıdayken ve istemci başarı bildirirken dışa doğru çalışın: yol tablosu hedef için tüneli seçiyor mu, çözümleyici özel ad için yanıtlıyor mu ve karşı tarafın bir dönüş yolu var mı. Her birinin ayrı bir komutu ve ayrı bir sahibi vardır.

nmcli connection show --active
nmcli device status
wg show

nmcli başvurusu, tam kümeye ihtiyacınız varsa durum ve bağlantı komutlarını belgeler. Burada önemli olan, bir profilin etkin olması ile bir aygıtın trafik taşıması arasındaki ayrımdır, çünkü ikisi çelişebilir.

Kurulumu bitmiş saymadan önce aynı yönetici üzerinden bir kez yeniden bağlanın ve bağlantı kesildikten sonra DNS'in hâlâ çalıştığını kontrol edin. Yalnızca ilk ağ değişikliğine kadar çalışan bir yapılandırma bitmiş değildir, sadece şu anda çalışıyordur.