Ubuntu'da yuklanish paytida OpenVPN: NetworkManager yoki systemd?

Aksariyat qo'llanmalar bu tanlovni tashqi ko'rinish masalasi sifatida taqdim etadi: yo NetworkManager tunnelni ko'tarsin, yoki systemd nusxasini yoqib tugating. Ikki yo'l ekransiz mashinada natijani hal qiladigan bir narsa bilan farq qiladi va bu qaysi vosita yangiroq ekaniga hech qanday aloqasi yo'q. NetworkManager sirrlarni seans orqali ochadi; systemd nusxasida ochadigan seans yo'q. Sirrlar bilan ishlashi oldingizdagi mashinaga mos keladigan yo'lni tanlang.

Qolgan hamma narsa, marshrutlarni o'rnatishdan qayta ulanish xatti-harakatigacha, o'sha birinchi qarordan kelib chiqadi.

Kalitlar halqasi — bu hech kim aytmaydigan farq

NetworkManager VPN profiliga ega bo'lganda, parol foydalanuvchi kirganda ochiladigan kirish kalitlar halqasida yashashi mumkin. Bu noutbukda yaxshi ishlaydi: odam bor, halqa ochiladi, tunnel ko'tariladi. Nazoratsiz yuklanadigan serverda biror narsani ochadigan hech kim yo'q, shuning uchun profil hech qachon kelmaydigan sirrni kutadi. Ulanish sozlangan ko'rinadi va hech qachon faollashmaydi.

systemd nusxasi bu muammodan diskdan hisob ma'lumotlari faylini o'qish bilan qochadi, bu faylni siz himoya qiladigan narsaga aylantiradi. chmod 400 va root egaligi minimaldir, fayl esa siz nazorat qilmaydigan zaxira nusxalar va obraz shablonlaridan tashqarida qolishi kerak.

VPNni ulanishga bog'lash yuklanish kafolati emas

nm-connection-editor da VPN o'rniga simli yoki simsiz ulanishni tanlang, General yorlig'ini oching, avtomatik VPNga ulanish variantini belgilang va profilga nom bering. So'ngra asosiy ulanish ulangan holatga yetganda NetworkManager VPNni ikkinchi darajali ulanish sifatida faollashtiradi. Bu bog'liqlik, xavfsizlik devori qoidasi emas. Tunnel ko'tarilishidan oldingi soniyalarda paketlar hali ham chiqishi mumkin, ochilmaydigan saqlangan sirr esa mashinani usiz onlayn qoldiradi.

Agar talab tunnelsiz hech narsa chiqmasligi bo'lsa, buni ayting va o'chirish tugmachasini yarating, chunki bu sozlama uni bermaydi. Kutish va davom ettirishni ham sinab ko'ring, chunki qaytish yo'lida ikkinchi darajali ulanish qayta baholanadi.

systemd nusxasiga mos keladigan fayl nomi kerak

Profilni paket kutadigan mijoz katalogiga joylashtiring, masalan /etc/openvpn/client/office.conf, va ichidan hisob ma'lumotlari fayliga auth-user-pass office.cred bilan havola qiling. Nusxa nomi kengaytmasiz fayl nomidir, shuning uchun openvpn-client@office office.conf faylini o'qiydi. Uni sudo systemctl enable --now openvpn-client@office bilan yoqing va muvofiqlikni blogdagi misolga ishonish o'rniga systemctl cat openvpn-client@office bilan tasdiqlang.

Profil ichidagi yo'llar profilga emas, birlikning ish katalogiga nisbatan hal qilinadi, shuning uchun nisbiy ca yoki auth-user-pass satri qo'lda sinaganda ishlasa ham yuklanish paytida muvaffaqiyatsiz bo'lishi mumkin. Birlik topishi kerak bo'lgan hamma narsa uchun mutlaq yo'llardan foydalaning. So'ngra haqiqiy yuklanishdan keyin journalctl -u openvpn-client@office -b ni o'qing; tunnelsiz faol deb xabar bergan birlik odatda o'sha jurnalda yo'qolgan faylni nomlaydi.

Eski paketlar boshqa shablon nomini beradi, shuning uchun systemctl list-unit-files 'openvpn*' bu xostda qaysi biri borligini hal qiladi.

Qayta ulanish xatti-harakati alohida qaror

ping-restart bo'lgan profil tunnel yiqilgandan keyin uni qayta quradi, qayta ishga tushirish direktivasi bo'lgan birlik esa xizmat darajasida shunga o'xshash ish qiladi. Bular siz tanlaydigan siyosatlar, meros oladigan standart qiymatlar emas. Agar ulanish faqat talab bo'yicha ko'tarilishi kerak bo'lsa, qayta ishga tushirish xatti-harakatini ataylab olib tashlang va sababini yozing. Agar birlik tarmoq foydalanishga yaroqli bo'lishidan oldin ishga tushsa, unga qayta urinish siyosati kerak, chunki yuklanish paytidagi bitta muvaffaqiyatsiz urinish o'z-o'zidan takrorlanmaydi.

To'xtatish ham xuddi shunday so'zma-so'z: sudo systemctl disable --now openvpn-client@office ishlab turgan nusxani to'xtatadi va yuklanish havolasini olib tashlaydi. Faqat o'chirish tunnelni keyingi qayta yuklanishgacha ishlab turishiga qoldiradi, bu esa o'chirib sinab, interfeys yuqoriligicha qolganini ko'rgan har kimni hayratda qoldiradi.

Qayta yuklang, so'ng to'rt narsani tartib bilan tekshiring

Xizmatni qayta ishga tushirish xizmatni sinaydi; mashinani qayta yuklash yuklanish yo'lini sinaydi. Qayta yuklashdan keyin birlik ko'tarilganini, so'ng uzoq subnet uchun marshrut borligini, so'ng mashina internetga qaysi manzilni ko'rsatishini va oxirida nomlar tunnel orqali hal qilinishini tasdiqlang. Biror narsa noto'g'ri bo'lsa, o'sha to'rt tekshiruv aynan shu tartibda muvaffaqiyatsiz bo'ladi, bu esa birinchi muvaffaqiyatsizlikni foydali qiladi.

Marshrutsiz faol birlik odatda profil ulanganini, lekin server hech qanday marshrut yubormaganini yoki marshrut keyinroq yo'qolgan interfeysga o'rnatilganini bildiradi. Nomlar qidiruvi ishlamaydigan marshrut tunnelning o'ziga emas, DNS sozlamasiga ishora qiladi.

Tunnel ko'tarila olmaganda nima bo'lishi kerakligini oldindan hal qiling. Oddiy ulanishga qaytish bu siyosat va uni birinchi boshlagan menejerga qoldirish o'rniga yozib qo'yish kerak.