Linuxda VPN ishga tushirganda aslida nima sodir bo'ladi

Ulanish tugmasini bosing va Linux mashinasida uch narsa o'zgaradi: interfeys paydo bo'ladi, marshrutlar o'rnatiladi va hal qiluvchi boshqacha javob bera boshlaydi. Sozlashdagi xatolarning ko'pi shu uchtadan biri qolganlarisiz sodir bo'lishidan yoki ikki dastur ularning kimga tegishli ekani bo'yicha kelisha olmasligidan kelib chiqadi. Ketma-ketlikni tushunish xatoni mijoz jurnali chiqishini o'qishdan tezroq tushuntiradi.

Biror narsa ishlashidan oldin interfeys paydo bo'ladi

Tunnel mijozi virtual interfeys ochadi va unga paketlarni beradi. TUN qurilmasi IP paketlarni tashiydi, bu marshrutlangan VPNga kerak; TAP qurilmasi Ethernet kadrlarini tashiydi, bu ko'prikli dizaynga kerak. Yadro moduli qurilmani taqdim etadi va sessiya davom etguncha mijoz unga egalik qiladi.

Interfeysning ko'tarilishi tunnel ishlashiga teng emas. Sherik yetib bo'lmaydigan bo'lsa ham u manzil bilan mavjud bo'lishi mumkin, shuning uchun interfeyslar ro'yxati birinchi tekshiruv, oxirgisi emas. O'zini ko'tarilgan deb e'lon qilgan qurilma yadroning virtual aloqaga qarashini tasvirlaydi, sherikning javob berishga tayyorligini emas.

Taqdim etilgan interfeys rejimini o'z holicha qoldiring. TUN profilini TAPga aylantirish marshrutlangan serverni ko'prikli qilmaydi va odatda o'rnatiladigan, ammo hech narsa uzatmaydigan ulanish hosil qiladi.

Marshrutlarni tunnelga egalik qilgan tomon o'rnatadi

Marshrutlar ikkinchi o'zgarish va ularning egaligi mazmunidan muhimroq. NetworkManager profili, systemd birligi va qo'lda ishga tushirilgan mijoz barchasi marshrut o'rnatishi mumkin, ularning ikkitasi bir vaqtda shunday qilsa, keyin hech kim tushuntira olmaydigan jadval paydo bo'ladi.

ip -br addr show
ip route show
ip -6 route show

To'liq tunnel profili standart marshrutni almashtiradi; bo'lingan tunnel profili aniqroq marshrutlarni qo'shadi va standartni o'z holicha qoldiradi. Ikkalasi ham normal, ikkinchisi esa masofadan boshqariladigan mashinada standart marshrutni o'chirish nima uchun yomon birinchi sinov ekanini tushuntiradi. Uni olib tashlash muammoni tuzatish uchun ishlatayotgan sessiyadan ayrilishning ham eng tez yo'li.

Taxmin qilish o'rniga jadvalni o'qing. Aniqroq marshrut yoki siyosat qoidasi trafikni tunnelga yuborishi mumkin, standart marshrut esa hali ham jismoniy interfeysga ishora qiladi, bu butun jadvalni o'qiguncha qarama-qarshi ko'rinadi. Bunday birikma bo'lingan tunnel uchun normal va dizaynni bir satr bilan tasvirlashni kutganlarni chalkashtiradi. Haqiqiy manzilingizga mos marshrutni qidiring, diagrammaga mos keladiganini emas.

Hal qiluvchi qo'l almashtiradi

DNS uchinchi o'zgarish va ko'rmagan joyingizda boshqarilish ehtimoli eng yuqori bo'lgani. Ish stolida NetworkManager hal qiluvchi sozlamalarini har bir ulanish uchun yuborishi mumkin. systemd-resolved ishlatadigan tizimda sozlamalar har bir aloqa uchun qo'llanadi va /etc/resolv.conf tahrirlashingiz kerak bo'lgan fayl emas, stub yoki ramziy havola bo'lishi mumkin.

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

Agar hal qiluvchi fayliga qo'lda kiritilgan o'zgartirish qayta ulangandan keyin yo'qolsa, bu uni saqlab turuvchi komponentni topib, o'rniga profilni o'zgartirish belgisidir. Yaratilgan faylni tahrirlash qayta ulanish o'chiradigan o'zgarishdir.

Shaxsiy nomlar odatda ichki hal qiluvchi va operator bergan qidiruv domenlariga muhtoj. Ommaviy hal qiluvchi bilan almashtirish VPN mavjud bo'lgan resursning o'zini buzishi mumkin, alomat esa DNS xatosi emas, marshrutlash xatosi kabi ko'rinadi. Nom va manzilni alohida sinab ko'ring, chunki biri ishlab, ikkinchisi ishlamasa qaerga qarash kerakligini aniq aytadi. Shu bitta taqqoslash marshrutlarni sozlashning bir soatini tejaydi.

Har bir ulanish uchun bitta menejer

Profil formati qaysi dastur undan foydalana olishini belgilaydi. OpenVPN profiliga OpenVPN yoki mos plagin kerak, WireGuard konfiguratsiyasining esa sherik kalitlari va ruxsat etilgan prefikslari bilan o'z formati bor. Fayl kengaytmasi nima deyishidan qat'i nazar, import oynasi birini ikkinchisiga aylantirmaydi.

Bitta menejerni tanlang va ulanish unga tegishli bo'lsin. Xuddi shu tunnelni ikki vosita orqali ko'tarish marshrut jadvali va qayta ulanish xatti-harakatini noaniq qiladi va odatda ikkinchi boshlangani takrorlash qiyin usullarda g'olib bo'ladi.

Tarqatishingiz qo'llab-quvvatlaydigan paketlarni o'rnating va profilni operatordan oling. Unga hisob ma'lumotlari sifatida qarang, chunki u odatda shaxsiy kalit yoki unga teng materialni o'z ichiga oladi, va uni boshqa sirlaringiz yashaydigan joyda saqlang. Yuklab olish papkasida qoldirilgan profil stol ustida qoldirilgan kalitdir.

Ko'tarilgan, ammo ishlamayotganda nimani tekshirish kerak

Interfeys ko'tarilgan va mijoz muvaffaqiyat haqida xabar berayotganda, tashqariga qarab ishlang: marshrut jadvali manzil uchun tunnelni tanlaydimi, hal qiluvchi shaxsiy nomga javob beradimi va narigi tomonning qaytish yo'li bormi. Har birining alohida buyrug'i va alohida egasi bor.

nmcli connection show --active
nmcli device status
wg show

nmcli ma'lumotnomasi to'liq to'plam kerak bo'lsa holat va ulanish buyruqlarini hujjatlashtiradi. Bu yerda muhimi profilning faol bo'lishi va qurilmaning trafik tashishi o'rtasidagi farq, chunki ikkalasi bir-biriga zid bo'lishi mumkin.

Sozlashni tugallangan deb atashdan oldin xuddi shu menejer orqali bir marta qayta ulaning va uzilgandan keyin DNS hali ham ishlashini tekshiring. Faqat tarmoqning birinchi o'zgarishigacha ishlaydigan konfiguratsiya tugallanmagan, u faqat hozir ishlayapti.