Cách thiết lập VPN trên Linux

Trước khi bắt đầu

Cài đặt ứng dụng

Trên Linux có hai cách và cả hai đều minh bạch. Ứng dụng riêng của nhà cung cấp là cách thứ nhất; nó có sẵn công tắc ngắt kết nối, bộ chọn máy chủ và xử lý DNS. Dùng tệp cấu hình với các công cụ có sẵn của hệ thống là cách thứ hai, và phần cuối của hướng dẫn này nêu rõ cái giá phải trả.

1. Đăng nhập trên trang web của nhà cung cấp và mở hướng dẫn dành cho Linux từ khu vực tài khoản. Hướng dẫn sẽ nêu kho, khóa và gói; hãy làm theo đúng những phần đó.
2. Thêm kho và khóa của kho, sau đó cài đặt gói bằng trình quản lý gói của bản phân phối. Khóa là thứ cho phép trình quản lý gói từ chối một gói đã bị can thiệp, vì vậy kho được thêm mà không có khóa là kho mà bạn đã chấp nhận chỉ dựa trên sự tin tưởng.
3. Bật dịch vụ của ứng dụng để dịch vụ khởi động cùng hệ thống. Ứng dụng thường gồm một daemon chạy với quyền root và một ứng dụng máy tính kết nối với daemon đó; daemon quản lý đường hầm, còn công tắc ngắt kết nối cần có daemon chạy ngay từ lúc khởi động để hoạt động ngay từ lúc khởi động.
4. Đăng nhập vào ứng dụng — từ ứng dụng hoặc từ dòng lệnh bằng token mà khu vực tài khoản cung cấp — và đặt tên cho thiết bị sao cho không thể nhận diện bạn.
5. Chưa kết nối vội. Trước tiên hãy mở phần cài đặt. Trong số ba mục dưới đây, có hai mục thường bị tắt theo mặc định ở hầu hết ứng dụng.

Ba cài đặt đáng kiểm tra

Các trình đơn của ứng dụng khác nhau, nhưng các cài đặt thì không. Cả ba mục đều có trong bảng thuật ngữ nếu tên gọi còn xa lạ.

Công tắc ngắt kết nối

Chặn toàn bộ lưu lượng nếu đường hầm bị ngắt, thay vì âm thầm để kết nối quay lại mạng thông thường. Trên Linux, đây là một tập hợp quy tắc tường lửa do ứng dụng ghi vào: mọi thứ ngoại trừ giao diện đường hầm và điểm cuối của chính đường hầm đều bị loại bỏ. Hãy bật mục này và chọn dạng luôn bật hoặc lockdown nếu ứng dụng có cung cấp, để các quy tắc được duy trì từ lúc khởi động chứ không chỉ khi đang kết nối. Mục đích của công tắc được giải thích trên trang riêng của nó.

DNS bên trong đường hầm

Các truy vấn tên có thể rời khỏi máy qua bên ngoài đường hầm ngay cả khi mọi thứ khác đều đi bên trong, và trên Linux đây là kiểu rò rỉ xảy ra nhiều nhất vì bộ phân giải là một thành phần luôn thay đổi. Trên Ubuntu, thành phần đó là systemd-resolved: mỗi giao diện có bộ phân giải riêng, và bộ phân giải có tuyến mặc định cho DNS sẽ trả lời mọi truy vấn không khớp với miền cụ thể hơn. Ứng dụng nên trỏ tuyến mặc định đó đến bộ phân giải của nhà cung cấp thông qua giao diện đường hầm. Hãy đặt DNS của ứng dụng thành DNS riêng của nhà cung cấp, không phải DNS của bên thứ ba; bên thứ hai chỉ nhìn thấy các truy vấn cũng là thêm một bên nữa. Cách rò rỉ xảy ra được giải thích trên trang về rò rỉ DNS.

Giao thức

Hãy giữ nguyên giao thức hiện đại được chọn mặc định, trừ khi có sự cố — trang giao thức liệt kê giao thức nào còn hiện hành và giao thức nào đã cũ. Nếu ứng dụng cung cấp một lựa chọn cũ hơn để khắc phục sự cố kết nối, đó là một đánh đổi cần thực hiện có cân nhắc rồi hoàn tác sau đó: sổ đăng ký đánh dấu giao thức yếu nhất mà nhà cung cấp vẫn cung cấp, và tự chọn giao thức đó nghĩa là bạn tự chọn mức đánh dấu ấy cho mình.

Xác nhận rằng nó thực sự hoạt động

Hãy kết nối rồi kiểm tra thay vì mặc định rằng mọi thứ đều ổn. Thực hiện ba bước kiểm tra từ terminal, theo thứ tự sau:

1. Địa chỉ của bạn đã thay đổi. Dùng curl với bất kỳ dịch vụ nào có nội dung “IP của tôi là gì”, hoặc mở một dịch vụ như vậy trong trình duyệt, rồi xác nhận quốc gia khớp với điểm thoát bạn đã chọn. Lệnh ip route get đến một địa chỉ công khai phải hiển thị giao diện đường hầm, không phải giao diện Wi-Fi hoặc Ethernet.
2. Các truy vấn nằm bên trong đường hầm. Chạy resolvectl status: giao diện đường hầm phải mang bộ phân giải của nhà cung cấp và tuyến mặc định cho DNS; bộ phân giải của giao diện vật lý không được sử dụng. Kiểm tra rò rỉ DNS trong trình duyệt là ý kiến đối chiếu thứ hai, và bất kỳ mục nào thuộc về nhà cung cấp internet của bạn đều cho thấy cài đặt DNS chưa có hiệu lực.
3. Công tắc ngắt kết nối hoạt động đúng như mô tả. Khi đang tải xuống, hãy dừng dịch vụ của ứng dụng bằng systemctl stop, hoặc đưa giao diện đường hầm xuống bằng ip link set … down, để đường hầm bị ngắt mà không cần yêu cầu ứng dụng thực hiện. Quá trình truyền phải dừng ngay. Nếu vẫn tiếp tục, công tắc chỉ mang tính hình thức.

Bộ kiểm tra đầy đủ hơn, cùng những gì mỗi bước có thể và không thể cho thấy, nằm trong hướng dẫn riêng.

Cách dùng tệp cấu hình và cái giá phải trả

Hầu hết nhà cung cấp công bố tệp cấu hình cho hai giao thức phổ biến trong khu vực tài khoản. Tệp WireGuard được nhập vào NetworkManager từ trình chỉnh sửa kết nối hoặc bằng nmcli connection import, và cũng chạy tốt không kém dưới wg-quick; tệp OpenVPN được nhập theo cách tương tự với plugin OpenVPN. Bạn có đường hầm, nút bật tắt giao diện riêng của hệ thống, và không có gì ngoài những gì nhà cung cấp đã đưa vào tệp.

Thứ bạn mất là phần còn lại của ứng dụng. Không có công tắc ngắt kết nối trừ khi bạn tự viết các quy tắc tường lửa; một tệp được nhập vào NetworkManager mà bị ngắt sẽ đơn giản đưa lưu lượng trở lại mạng thông thường. Không có xử lý DNS ngoài dòng DNS trong tệp, và một tệp không có dòng này chính là nguyên nhân rò rỉ trong câu trả lời khắc phục sự cố đầu tiên. Không có bộ chọn máy chủ: mỗi tệp là một điểm thoát, và đổi điểm thoát nghĩa là dùng tệp khác. Hãy tạo tệp từ khu vực tài khoản và giữ chúng riêng tư: tệp WireGuard chứa khóa riêng tư, chính là danh tính của bạn đối với nhà cung cấp.

Cách này phù hợp với máy chủ, máy không có giao diện đồ họa hoặc bản phân phối không được ứng dụng hỗ trợ. Trên máy tính xách tay, hãy ưu tiên ứng dụng; công tắc mà ứng dụng mang theo chính là thứ tệp cấu hình không thể cung cấp.