Juhend
Kuidas Linuxis VPN-i seadistada
Teenusepakkuja klient tema enda repositooriumist, konfiguratsioonifaili alternatiiv süsteemi enda tööriistades, DNS-i üksikasjad, mis põhjustavad Linuxis rohkem lekkeid kui kusagil mujal, ning terminalist tehtavad kontrollid. Juhend on koostatud Ubuntu 26.04 LTS-i ja NetworkManageri põhjal.
Enne alustamist
See juhend ei vali sinu eest
Kõik allolevad sammud on samad, olenemata kasutatavast teenusepakkujast, mistõttu ei nimetata siin ühtegi neist. Valimine on eraldi ülesanne ja see tehakse registris, kus valik põhineb avaldatud skooril, mitte allalaadimislehel.
Paigalda klient teenusepakkuja enda repositooriumist ja teenusepakkuja enda juhistes antud allkirjastamisvõtmega. Ära kleebi foorumist või blogist pärit üherealist paigalduskäsku kunagi terminali: käsk töötab juurkasutajana ja sul pole aimugi, mida see alla laadis. Allkirjastatud repositooriumist pärit paketti saab kontrollida; shelli suunatud skripti mitte.
Paigalda klient
Linuxis on kaks võimalust ja mõlemad on ausad. Esimesena tuleb teenusepakkuja enda klient: see pakub kill switch'i, serveri valikut ja DNS-i haldust ilma lisavaevata. Teine võimalus on konfiguratsioonifail süsteemi enda tööriistades; selle juhendi lõpus olev jaotis selgitab, mis hinnaga see tuleb.
- Logi teenusepakkuja veebisaidile sisse ja ava kontoalast Linuxi juhend. Seal on nimetatud repositoorium, võti ja pakett; järgi neid juhiseid ega midagi muud.
- Lisa repositoorium ja selle võti ning paigalda pakett distributsiooni paketihalduriga. Võti võimaldab paketihalduril rikutud pakett tagasi lükata, seega on ilma võtmeta lisatud repositoorium selline, mida oled otsustanud usaldada.
- Luba kliendi teenus, et see käivituks koos süsteemiga. Klient koosneb tavaliselt juurkasutajana töötavast taustateenusest ja sellega suhtlevast töölauarakendusest; taustateenus haldab tunnelit ning käivitamisel toimiv kill switch vajab, et teenus töötaks juba käivitamisest alates.
- Logi klienti sisse — rakendusest või käsurealt kontoalast saadud märgiga — ja anna seadmele nimi, mis ei võimalda sind tuvastada.
- Ära veel ühendu. Ava esmalt seaded. Enamikus klientides on allolevast kolmest seadmest kaks vaikimisi välja lülitatud.
Kolm kontrollimist väärivat seadet
Klientide menüüd erinevad, seaded mitte. Kõigil kolmel on sõnastikus kirje, kui nimetus on võõras.
Kill switch
See blokeerib kogu liikluse, kui tunnel katkeb, selle asemel et lasta ühendusel vaikselt tavalisele võrgule tagasi langeda. Linuxis on see kliendi kirjutatud tulemüürireeglite kogum: kõrvale jäetakse kõik peale tunneliliidese ja tunneli enda lõpp-punkti. Lülita see sisse ning vali võimalusel alati aktiivne või lockdown-režiim, et reeglid kehtiksid alates käivitamisest, mitte ainult ühenduse ajal. Kill switch'i otstarbest räägib selle enda leht.
DNS tunnelis
Nimelahendused võivad väljuda masinast tunnelist väljaspool isegi siis, kui kõik muu toimub tunnelis, ning Linuxis on see kõige sagedasem leke, sest lahendaja on muutuv komponent. Ubuntus on selleks systemd-resolved: igal liidesel on oma lahendajad ning vaikimisi DNS-marsruudiga liides vastab kõigele, mille kohta pole määratud täpsemat domeeni. Klient peaks suunama selle vaikimisi lahendaja teenusepakkuja lahendajale tunneli kaudu. Määra kliendis teenusepakkuja enda DNS, mitte kolmanda osapoole oma; teine osapool, kes näeb ainult päringuid, on ikkagi veel üks osapool. Kuidas leke tekib, selgitab DNS-lekete leht.
Protokoll
Jäta see nüüdisaegse vaikevaliku peale, välja arvatud juhul, kui midagi on katki — protokollilehel on loetletud, millised protokollid on ajakohased ja millised pärandprotokollid. Kui klient pakub ühendusprobleemi lahendamiseks vanemat valikut, tee seda teadlikult ja võta seejärel valik tagasi: register märgib ära kõige nõrgema protokolli, mida teenusepakkuja endiselt pakub, ning selle käsitsi valimine tähendab, et valid selle märgise ka endale.
Veendu, et see tegelikult töötab
Ühendu ja kontrolli, selle asemel et eeldada. Tee terminalist järgmised kolm kontrolli selles järjekorras:
- Sinu aadress muutus. Käivita
curlmõne „mis on mu IP” teenuse vastu või ava selline teenus brauseris ja veendu, et riik vastab valitud väljumispunktile.ip route getavaliku aadressi puhul peaks näitama tunneliliidest, mitte Wi-Fi- või Etherneti-liidest. - Nimelahendused toimuvad tunnelis. Käivita
resolvectl status: tunneliliides peaks sisaldama teenusepakkuja lahendajat ja DNS-i vaikimisi marsruuti; füüsilise liidese lahendajat ei tohiks kasutada. Brauseri DNS-lekke test on teine arvamus ning kõik, mis kuulub sinu internetiteenuse pakkujale, tähendab, et DNS-i seadistus ei rakendunud. - Kill switch teeb seda, mida lubab. Kui allalaadimine töötab, peata kliendi teenus käsuga
systemctl stopvõi vii tunneliliides alla käsugaip link set … down, nii et tunnel katkeb ilma kliendilt seda palumata. Edastus peaks kohe peatuma. Kui see jätkub, on kill switch vaid dekoratsioon.
Pikem testide kogum ning selgitus, mida iga test näitab ja mida mitte, on eraldi juhendis.
Mida need kontrollid tõendavad
+Sinu liiklus väljub valitud riigis asuva väljumisserveri kaudu
+Sinu päringutele vastav lahendaja on teenusepakkuja oma ja asub tunnelis
+Katkenud tunnel ebaõnnestub suletult, mitte ei lange vaikselt tagasi
Mida need ei tõenda
−Need ei ütle midagi selle kohta, mida teenusepakkuja säilitab — see on dokumentidega seotud küsimus, millele vastavad säilitamise lehed
−Need ei muuda sind anonüümseks: sinu brauser ja sisselogimised ei muutu; vaata, mille eest VPN sind ei kaitse
−Täna läbitud test ei ole lubadus järgmise paketivärskenduse või järgmise kerneli kohta
Konfiguratsioonifaili võimalus ja selle hind
Enamik teenusepakkujaid avaldab kontoalas kahe levinud protokolli konfiguratsioonifailid. WireGuardi faili saab NetworkManageri importida ühenduse redaktorist või käsuga nmcli connection import ning see töötab sama hästi ka wg-quick-i all; OpenVPN-i faili saab samal viisil importida OpenVPN-i pluginaga. Saad tunneli, süsteemi enda liidese lüliti ja mitte midagi sellist, mida teenusepakkuja faili ei lisanud.
Kaotad ülejäänud kliendi võimalused. Kill switch puudub, välja arvatud juhul, kui kirjutad tulemüürireeglid ise; NetworkManageri imporditud fail, mille tunnel katkeb, annab liikluse lihtsalt tagasi tavalisele võrgule. DNS-i haldus puudub peale failis oleva DNS-rea ning reata fail on esimene vastus DNS-i tõrkeotsingus tekkivale lekkele. Serveri valik puudub: iga fail tähistab üht väljumispunkti ja väljumispunkti muutmine tähendab teise faili kasutamist. Loo failid kontoalas ja hoia need privaatsena: WireGuardi fail sisaldab privaatvõtit, mis on sinu identiteet teenusepakkuja jaoks.
See võimalus sobib serverile, kuvarita masinale või distributsioonile, mida klient ei toeta. Sülearvutis eelista klienti; selle pakutav lüliti ongi see, mida konfiguratsioonifail pakkuda ei saa.
Kui see ei tööta
Tunnel on üleval, kuid DNS liigub endiselt minu internetiteenuse pakkuja kaudu
Klassikaline Linuxi leke. Kui konfiguratsioonifail DNS-i ei määra, kasutab systemd-resolved võrgu antud lahendajat, mis asub väljaspool tunnelit. Käivita resolvectl status: tunneliliides peaks loetlema teenusepakkuja lahendaja ja kandma DNS-i vaikimisi marsruuti, mida tähistab plussmärk.
Lisa konfiguratsiooni DNS-rida või määra DNS NetworkManageri ühenduse seadetes ja loo ühendus uuesti. Teenusepakkuja enda klient teeb seda ise, mis on üks põhjusi seda eelistada.
Tunneli katkemisel lakkab kõik töötamast ja see on tüütu
See on kill switch, mis teeb oma tööd: katkenud tunnel tähendab surnud ühendust, mitte vaikset tagasilangemist tavalisele võrgule. Lülita kill switch'i väljalülitamise asemel ühendus uuesti sisse.
Kui tunnel katkeb ühes võrgus sageli ja mujal harva, vaheta protokoll üks kord ja proovi lähemat väljumispunkti. Kui selles võrgus ei püsi ükski protokoll, blokeerib võrk VPN-liikluse ning siinkohal juhend lõpeb.
Klient küsib iga kord sudo-käsku või parooli
Võrguliidese loomine on õigustega toiming ning klient, mis ei paigalda taustateenust, peab seda iga kord küsima. Enamik kliente paigaldab taustateenuse — juurkasutajana töötava deemoni ja sellega suhtleva töölauarakenduse — ning korduv küsimine tähendab, et teenus ei tööta või pole lubatud.
Kontrolli seda käsuga systemctl status ja teenusepakkuja juhistes antud teenusenimega ning luba teenus, et see käivituks koos süsteemiga.
Testilehel kuvatakse IPv6-aadresse
Tunnel kannab IPv4-liiklust, kuid masinal on väljaspool tunnelit endiselt IPv6-marsruut, mistõttu kõik IPv6 eelistavad päringud lähevad VPN-ist mööda. Teenusepakkujad, kes IPv6-liiklust tunnelisse ei suuna, peaksid selle liidesel keelama; paremad kliendid teevad seda ise.
Kui lõid ühenduse faili põhjal, keela IPv6 NetworkManageri ühenduse seadetes või lülita see sysctl-iga välja ja testi uuesti. Tunnel, mis jätab teise aadressiperekonna avatuks, on vaid poolik tunnel.
Samad sammud, teised seadmed
Ülejäänud platvormid
Igal platvormil on oma juhend, mitte sakk sellel. Sammud lähevad lahku kohe, kui paigaldaja avaneb, ja leht, mis vastab korraga kolmele platvormile, ei vasta korralikult ühelegi neist.