Водич
Како подесити VPN на Linux-у
Клијент провајдера из његовог сопственог репозиторијума, алтернатива у виду конфигурационе датотеке у системским алаткама, детаљ о DNS-у који на Linux-у доводи до цурења више него било где другде и провере из терминала. Написано за Ubuntu 26.04 LTS и NetworkManager.
Пре него што почнете
Овај водич не бира провајдера уместо вас
Сваки корак у наставку исти је без обзира на то који провајдер користите, због чега се овде ниједан не именује. Избор је посебан задатак и обавља се у регистру, где се одлука доноси на основу објављеног резултата, а не странице за преузимање.
Инсталирајте клијент из сопственог репозиторијума провајдера, са кључем за потписивање из сопствених упутстава провајдера. Никада не налепљујте једноредну команду за инсталацију са форума или блога у терминал: команда се извршава као root, а немате појма шта је преузела. Пакет из потписаног репозиторијума може да се провери; скрипта прослеђена љусци не може.
Инсталирајте клијент
На Linux-у постоје два начина и оба су легитимна. Сопствени клијент провајдера је први; он без додатног подешавања доноси прекидач везе, избор сервера и управљање DNS-ом. Конфигурациона датотека у системским алаткама је други, а одељак на крају овог водича објашњава шта тиме губите.
- Пријавите се на веб-сајт провајдера и отворите његова упутства за Linux из дела за налог. У њима су наведени репозиторијум, кључ и пакет; пратите њих и ништа друго.
- Додајте репозиторијум и његов кључ, а затим инсталирајте пакет помоћу управљача пакетима ваше дистрибуције. Кључ омогућава управљачу пакетима да одбије измењени пакет, па је репозиторијум додат без њега репозиторијум коме сте указали поверење.
- Омогућите услугу клијента како би се покретала при покретању система. Клијент се обично састоји од демона који ради као root и десктоп апликације која с њим комуницира; демон управља тунелом, а прекидач везе који треба да буде активан од покретања захтева да он тада буде покренут.
- Пријавите се у клијент — из апликације или командне линије помоћу токена који вам даје део за налог — и дајте уређају назив који вас не идентификује.
- Још се немојте повезивати. Прво отворите подешавања. Две од три ставке у наставку подразумевано су искључене у већини клијената.
Три подешавања која вреди проверити
Менији клијената се разликују, али подешавања не. Свака од ове три ставке има објашњење у речнику ако вам назив није познат.
Прекидач везе
Блокира сав саобраћај ако тунел падне, уместо да неприметно дозволи да се веза врати на обичну мрежу. На Linux-у је то скуп правила заштитног зида које клијент уписује: одбацује се све осим интерфејса тунела и сопствене крајње тачке тунела. Укључите га и изаберите увек укључену или lockdown варијанту ако је клијент нуди, како би правила важила од покретања система, а не само док сте повезани. Сврха овог прекидача објашњена је на посебној страници.
DNS унутар тунела
Упити за називе могу напустити уређај изван тунела чак и када је све остало унутар њега, а на Linux-у се ово цурење најчешће дешава јер је разрешивач променљиви део система. На Ubuntu-у је то systemd-resolved: сваки интерфејс има сопствене разрешиваче, а онај са подразумеваном рутом за DNS одговара на све што није обухваћено одређенијим доменом. Клијент треба да усмери ту подразумевану руту на разрешивач провајдера кроз интерфејс тунела. Подесите DNS клијента на DNS провајдера, а не треће стране; друга страна која види само упите представља још једну страну. Како долази до цурења објашњено је на страници о DNS цурењима.
Протокол
Оставите савремени подразумевани протокол, осим ако нешто није покварено — страница о протоколима наводи који су актуелни, а који застарели. Ако клијент нуди старију опцију за решавање проблема са везом, то је компромис који треба свесно направити, а затим поништити: регистар означава најслабији протокол који провајдер и даље нуди, а његов ручни избор значи да ту ознаку бирате за себе.
Потврдите да заиста ради
Повежите се, а затим проверите уместо да претпоставите. Три провере из терминала, овим редом:
- Ваша адреса се променила. Помоћу
curlприступите било којој услузи типа „која је моја IP адреса“ или је отворите у прегледачу и потврдите да се земља поклапа са излазном локацијом коју сте изабрали. Командаip route getза јавну адресу треба да наведе интерфејс тунела, а не Wi-Fi или Ethernet интерфејс. - Упити се обављају унутар тунела. Извршите
resolvectl status: интерфејс тунела треба да користи разрешивач провајдера и подразумевану DNS руту; разрешивач физичког интерфејса не треба да се користи. Тест DNS цурења у прегледачу је друга провера, а било шта што припада вашем интернет провајдеру значи да DNS подешавање није примењено. - Прекидач везе ради оно што пише. Док је преузимање у току, зауставите услугу клијента помоћу
systemctl stopили оборите интерфејс тунела командомip link set … down, како би тунел пао без захтева клијенту да то уради. Пренос треба одмах да стане. Ако се настави, прекидач је само украс.
Дужи скуп тестова и објашњење шта сваки од њих може, а шта не може да покаже налази се у посебном водичу.
Шта ове провере доказују
+Ваш саобраћај излази преко излазног сервера у земљи коју сте изабрали
+Разрешивач који одговара на ваше упите припада провајдеру и налази се унутар тунела
+Пад тунела прекида везу уместо да је неприметно врати на обичну мрежу
Шта оне не доказују
−Не говоре ништа о томе шта провајдер задржава — то је питање докумената, на које одговор дају странице о задржавању података
−Не чине вас анонимним: прегледач и пријаве остају исти; погледајте од чега вас VPN не штити
−Успешан тест данас није обећање за следеће ажурирање пакета или следећи kernel
Начин са конфигурационом датотеком и његова цена
Већина провајдера објављује конфигурационе датотеке за два уобичајена протокола у делу за налог. WireGuard датотека се увози у NetworkManager из уређивача веза или помоћу nmcli connection import и подједнако добро ради са wg-quick; OpenVPN датотека се на исти начин увози помоћу OpenVPN додатка. Добијате тунел, сопствени системски прекидач интерфејса и ништа што провајдер није ставио у датотеку.
Оно што губите јесте остатак клијента. Нема прекидача везе осим ако сами не напишете правила заштитног зида; конфигурациона датотека увезена у NetworkManager која падне једноставно враћа саобраћај на обичну мрежу. Нема управљања DNS-ом изван линије DNS у датотеци, а датотека без те линије узрокује цурење које се прво проверава при отклањању проблема. Нема избора сервера: свака датотека представља један излаз, а промена излаза значи другу датотеку. Генеришите датотеке из дела за налог и чувајте их приватно: WireGuard датотека садржи приватни кључ који представља ваш идентитет код провајдера.
Овај начин је погодан за сервер, машину без графичког интерфејса или дистрибуцију коју клијент не подржава. На лаптопу предност дајте клијенту; прекидач који он доноси управо је оно што конфигурациона датотека не може да обезбеди.
Када не ради
Тунел је активан, али DNS и даље иде мом интернет провајдеру
Класично Linux цурење. Конфигурациона датотека која не подешава DNS оставља systemd-resolved да користи разрешивач који је мрежа доделила, изван тунела. Покрените resolvectl status: интерфејс тунела треба да наведе разрешивач провајдера и да носи подразумевану руту за DNS, означену знаком плус.
Додајте DNS линију у конфигурацију или подесите DNS на вези у NetworkManager-у, па се поново повежите. Сопствени клијент провајдера ово подешава сам, што је један од разлога да му дате предност.
Све престаје да ради када тунел падне, што је непријатно
То је прекидач везе који ради свој посао: пали тунел значи прекинуту везу, а не тихи повратак на отворену мрежу. Поново се повежите уместо да искључите прекидач.
Ако често пада на једној мрежи, а ретко на другим, једном промените протокол и покушајте са ближом излазном локацијом. Ако ниједан протокол не опстаје на тој мрежи, мрежа блокира VPN саобраћај и овај водич се ту завршава.
Клијент сваки пут тражи sudo или лозинку
Креирање мрежног интерфејса је привилегована операција, а клијент који не инсталира услугу у позадини мора да пита при сваком покретању. Већина их инсталира једну — демон који ради као root и десктоп апликацију која с њим комуницира — па поновљени упит значи да услуга не ради или није омогућена.
Проверите то помоћу systemctl status и назива услуге из упутстава провајдера, па је омогућите како би се покретала при покретању система.
Исти кораци, други уређаји
Остале платформе
Свака платформа има сопствени водич, а не картицу унутар овог. Кораци се разилазе чим се отвори инсталер, а страница која покушава да одговори за три платформе одједном заправо не одговара исправно ни за једну.