Sizning VPN faqat kirgandan keyin ishlaydi, chunki kalitlar halqasi

Buyruq siz kirganingizda ishlaydi, shuning uchun uni ishga tushirish skriptiga qo'yib, uyga ketasiz. Keyingi tong mashina onlayn, tunnel esa yo'q. Afsona shuki, ishlaydigan chaqiruv ishlaydigan xizmatdir. Amalda farq odatda ikki narsadan biri: profil tizimga emas, foydalanuvchi sessiyangizga tegishli, yoki sirni faqat siz kirgandan keyin mavjud bo'lgan narsa ochadi. Ikkalasi ham qo'lda sinovda mukammal ishlaydi va hech kim qaramaydigan aynan o'sha paytda muvaffaqiyatsiz bo'ladi.

Nima uchun kirish uni ishlatadi

Grafik kirish sessiya shinasi va sir xizmati agentini ishga tushiradi, va ko'plab ish stoliga yo'naltirilgan mijozlar profil paroli yoki shaxsiy kalitning parol iborasini aynan o'sha yerda saqlaydi. Kirgandan keyin foydalanuvchingiz sifatida ishlaydigan faollashtirish o'sha agentdan sirni so'rab, muvaffaqiyat qozonishi mumkin. Yuklanish paytida birlik bajaradigan xuddi shu faollashtirishning sessiyasi, shinasi va agenti yo'q, shuning uchun qidiruv muvaffaqiyatsiz bo'ladi yoki hech kim ko'rmaydigan so'rovda bloklanadi.

Xuddi shu profilni kirishdan oldin va keyin ishga tushiring — bitta konfiguratsiyadan ikki xil natija olasiz. Bu buzilgan tunnelning emas, hisob ma'lumotlariga bog'liqlikning belgisi va terminaldagi qo'lda sinov ko'rinadiganidan kamroq narsani isbotlashini tushuntiradi. Tunnel yaxshi; uning sirini ochadigan narsa yo'q.

Tunnelni qaysi egasi boshlashini hal qiling

Ikkita qo'llab-quvvatlanadigan andoza bor va ularni aralashtirish bu muvaffaqiyatsizlikning boshqa yo'lidir. NetworkManager tizim darajasidagi ulanishni faollashtirishi mumkin, bu mashina o'z tarmog'ini allaqachon u yerda markazlashtirgan bo'lsa mos keladi. Yoki maxsus systemd birligi VPNni to'g'ridan-to'g'ri ishga tushiradi va interfeysga o'zi egalik qiladi.

systemctl list-unit-files 'openvpn*'
systemctl list-unit-files 'wg-quick*'
nmcli connection show --active
systemctl enable --now wg-quick@wg0

Bitta konfiguratsiyaga ikkala egasini ham ishga tushirmang. Agar NetworkManager interfeysni boshqarsa va birlik ham uni ko'tarsa, ular marshrutlar va DNS uchun kurashadi, natijaviy holat esa kim oxirgi bo'lib tugatganiga bog'liq.

Sirni xizmat o'qiy oladigan joyga qo'ying

Fon xizmati so'rovga javob bera olmaydi. Sertifikat parol iboralari, hisob parollari va havola qilingan autentifikatsiya fayllari — barchasi birlik insonsiz yetib boradigan, xizmatni ishga tushiruvchi hisobga tegishli va boshqalar uchun o'qilmaydigan saqlash tartibini talab qiladi.

Vasvasali qisqa yo'l — ruxsat xatosi yo'qolguncha faylni hammaga o'qiladigan qilish. Bu ishga tushish muvaffaqiyatsizligini hisob ma'lumotlarining uzoq muddatli oshkor bo'lishiga almashtiradi va bu hech kim qayta ko'rmaydigan o'zgarish turidir. Joylashtirish allaqachon ishonadigan mexanizmdan foydalaning: cheklangan hisob ma'lumotlari fayli, fayl ruxsatlari bilan himoyalangan shifrlanmagan kalit yoki o'z sir xazinasiga ega tizim darajasidagi ulanish.

Haqiqatda sodir bo'ladigan hodisani sinang

Kirgandan keyin xizmatni qo'lda ishga tushirish deyarli hech narsani sinamaydi. Qayta yuklang yoki bir tsikl uchun grafik kirishni o'chiring va birlikning o'z-o'zidan ko'tarilishini kuzating. Hisob ma'lumotlari mavjudligi, tarmoq tayyorligi va birliklar tartibini birga sinaydigan yagona test shu. Bu, shuningdek, foydalanuvchi xabar qilgan nosozlikni qayta hosil qiladigan test, qo'lda ishga tushirish buni hech qachon qilmaydi.

systemctl is-enabled wg-quick@wg0
journalctl -u wg-quick@wg0 -b --no-pager
systemctl status systemd-networkd-wait-online --no-pager

Tartib ham hisob ma'lumotlari kabi muhim. Asosiy yuqori ulanish sozlanmasdan oldin boshlanadigan birlik taslim bo'ladi va ba'zi distributivlar ulanishni kutish-kutmaslikda farq qiladi. Agar birlik yuklanishda nosozlik haqida xabar bersa, lekin o'ttiz soniyadan keyin qo'lda ishga tushirilganda muvaffaqiyatli bo'lsa, siz sir emas, tartib muammosini topdingiz.

Faqat interfeysni emas, marshrutlar va DNSni tekshiring

Mavjud interfeys ishlaydigan tunnel emas. Nazoratsiz ishga tushirishdan keyin nomni tekshirishdan oldin marshrutlarni, hal qiluvchi holatini va manzil bo'yicha bitta manzilni tekshiring. So'ngra tunnel mavjud bo'lgan ilovani tekshiring.

ip -4 route show
resolvectl status
ping -c 3 10.61.0.1
curl -sS --max-time 5 https://internal.example/ -o /dev/null -w '%{http_code}\n'

Agar manzil ishlasa va nom ishlamasa, qolgan muammo tunnel emas, DNS siyosati. Qaysi egasi xizmatni boshlashini va sir qayerda yashashini yozib qo'ying, chunki bu mashinani keyingi marta qayta yuklaydigan odamga ikkala fakt ham kerak bo'ladi.