วิธีตั้งค่า VPN บน Fedora

Fedora เป็นระบบเดสก์ท็อปที่ได้รับความนิยมในกลุ่มคนที่ชอบซอฟต์แวร์รุ่นใหม่ และมาพร้อมชุดเครือข่ายที่ออกแบบมาดีตั้งแต่ติดตั้ง แต่ชุดเดียวกันนี้เองที่ทำให้การใช้ VPN บน Fedora แตกต่างจากคำแนะนำที่เขียนไว้สำหรับดิสโทรอื่นอยู่บ้าง NetworkManager ดูแลการเชื่อมต่อทั้งหมด systemd-resolved จัดการ DNS firewalld แบ่งอินเทอร์เฟซเป็นโซน และ SELinux คอยควบคุมว่าแต่ละโปรแกรมแตะต้องอะไรได้บ้าง เมื่อ VPN มีปัญหาบน Fedora สาเหตุมักอยู่ที่หนึ่งในสี่อย่างนี้ ไม่ใช่ตัว VPN เอง

บทความนี้พูดถึง VPN Fedora โดยเฉพาะ คือควรตรวจอะไรก่อน เพิ่มการรองรับ VPN ด้วย dnf อย่างไร firewalld กับ SELinux ขวางตรงไหน และควรดูอะไรหลังอัปเกรดเวอร์ชัน เราไม่อธิบายพื้นฐานว่า VPN คืออะไรซ้ำ หากต้องการขั้นตอนติดตั้งแอป VPNclient บนเดสก์ท็อป ให้ดู คู่มือตั้งค่าบน Linux

Fedora ต่างจากดิสโทรอื่นอย่างไร

ค่าเริ่มต้นสามอย่างทำให้ Fedora ต่างออกไป และแต่ละอย่างเปลี่ยนวิธีที่ VPN ทำงาน

• systemd-resolved เป็นตัวแก้ DNS ตั้งต้น ตั้งแต่ Fedora 33 ไฟล์ /etc/resolv.conf เป็นลิงก์ไปยังไฟล์ stub ที่ชี้ไป 127.0.0.53 เมื่อ VPN "ตั้งค่า DNS" มันทำโดยแจ้งกับ systemd-resolved แยกตามอินเทอร์เฟซ เครื่องมือที่เขียนลง /etc/resolv.conf ตรง ๆ จะถูกเมินหรือถูกเขียนทับ
• firewalld เปิดอยู่ และแบ่งเป็นโซน อินเทอร์เฟซแต่ละตัวอยู่ในโซน เช่น FedoraWorkstation หรือ public อินเทอร์เฟซ VPN ใหม่อย่าง wg0 หรือ tun0 อาจไปอยู่ในโซนที่เข้มงวดกว่าที่คุณคิด
• SELinux ทำงานแบบ enforcing โปรแกรมที่ระบบเรียกใช้ต้องทำตามกฎที่มีป้ายกำกับ ไฟล์ตั้งค่าที่คัดลอกจากโฟลเดอร์ผู้ใช้ไปวางผิดที่อาจมีป้ายที่ทำให้บริการ VPN อ่านไม่ได้

ทั้งหมดนี้ไม่ใช่ข้อบกพร่อง แต่เป็นเหตุผลที่ Fedora ปลอดภัยกว่าโดยปริยาย ราคาที่ต้องจ่ายคือคำแนะนำแบบคัดลอกแล้ววางจากดิสโทรอื่นบางครั้งล้มเหลวแบบเงียบ ๆ เมื่อรู้ว่าต้องดูชั้นไหน ปัญหาที่เคยกินเวลาทั้งเย็นก็เหลือสิบนาที

ตรวจรุ่นของ Fedora และชุดเครือข่ายก่อน

ก่อนติดตั้งอะไร ให้ยืนยันก่อนว่าคุณใช้ระบบแบบไหน เปิดเทอร์มินัลแล้วใช้คำสั่งที่อ่านอย่างเดียวเหล่านี้

cat /etc/fedora-release
nmcli general status
resolvectl status | head -30
firewall-cmd --get-active-zones
getenforce

ผลลัพธ์บอกอะไรเราบ้าง

คำสั่ง	คำตอบที่ปกติ	ถ้าไม่ตรง
nmcli general status	สถานะ connected	NetworkManager อาจหยุดอยู่ ให้เริ่มก่อนเพิ่มโปรไฟล์
resolvectl status	เห็นลิงก์ Wi-Fi หรือ Ethernet พร้อมเซิร์ฟเวอร์ DNS	ระบบแบบ Server อาจใช้ resolv.conf ธรรมดา
firewall-cmd --get-active-zones	อินเทอร์เฟซของคุณอยู่ในโซนใดโซนหนึ่ง	firewalld อาจปิดอยู่ ให้ดูกฎ nftables แทน
getenforce	Enforcing	Permissive ยังบันทึก denial ไว้ ซึ่งช่วยตามหาปัญหา

รุ่นของ Fedora ก็สำคัญ Workstation และ KDE Plasma spin ใช้ NetworkManager เป็นค่าเริ่มต้น ส่วน Server อาจใช้ NetworkManager เช่นกันแต่มักไม่มีแอปเพล็ตบนเดสก์ท็อป จึงต้องจัดการโปรไฟล์ด้วย nmcli ส่วน Silverblue, Kinoite และรุ่น atomic อื่น ระบบฐานเป็นแบบอ่านอย่างเดียว ซึ่งเปลี่ยนวิธีเพิ่มแพ็กเกจ จะอธิบายในหัวข้อแยกด้านล่าง

ทางเลือกที่ 1 ใช้แอป VPNclient บนเดสก์ท็อป

หากคุณมีพาส XPASS ทางที่ง่ายที่สุดคือ แอป VPNclient ฟรี เวอร์ชัน Linux เป็นแอปเดสก์ท็อปแบบกราฟิก ดาวน์โหลดเป็นไฟล์ .run จากลิงก์ทางการ ตั้งให้ไฟล์ทำงานได้ แล้วเริ่มจากเทอร์มินัล จากนั้นลงชื่อเข้าใช้ด้วยชื่อผู้ใช้และรหัสผ่านที่แสดงในหน้า My Pass ไม่ใช่อีเมลที่ใช้สมัครเว็บไซต์ XPASS ขั้นตอนครบถ้วนพร้อมลิงก์ทางการอยู่ใน คู่มือตั้งค่าบน Linux

ข้อควรรู้เฉพาะ Fedora สำหรับเส้นทางนี้

1. หน้าร้านค้าและคู่มือของเราอธิบายว่าแอป Linux เป็นแอปเดสก์ท็อปสำหรับ Ubuntu และดิสโทรอื่น เราไม่อาจรับรองว่าจะทำงานเหมือนกันบน Fedora ทุกเวอร์ชัน จึงควรติดตั้งในช่วงที่คุณมีเวลาแก้ปัญหา ไม่ใช่ก่อนประชุมไม่กี่นาที
2. ตัวติดตั้งอาจขอรหัสผ่าน sudo ซึ่งคือรหัสผ่านบัญชี Fedora ในเครื่องของคุณเอง
3. หากติดตั้งเสร็จแต่แอปเริ่มตัวช่วยด้านเครือข่ายไม่ได้ ให้อ่านข้อความ denial ด้วย sudo journalctl -b | grep -i denied และดูหัวข้อ SELinux ด้านล่างก่อนติดตั้งใหม่
4. ใช้ค่าการเชื่อมต่อเริ่มต้นของแอปไว้ เว้นแต่ฝ่ายสนับสนุนแนะนำเป็นอย่างอื่น

หากอยากเปรียบเทียบแผนก่อน ดู หน้าดาวน์โหลด สำหรับแพลตฟอร์มที่รองรับ และ หน้าราคา สำหรับระยะเวลาของพาส

ทางเลือกที่ 2 โปรไฟล์ VPN ผ่าน NetworkManager และ dnf

คนใช้ Fedora จำนวนมากมีไฟล์ตั้งค่าจากที่อื่นอยู่แล้ว เช่น จากที่ทำงาน มหาวิทยาลัย เราเตอร์ที่บ้าน หรือเซิร์ฟเวอร์ที่ดูแลเอง NetworkManager เก็บโปรไฟล์เหล่านี้ไว้ได้ เวลาเชื่อมต่อก็แค่คลิกในเมนูระบบ แต่ปลั๊กอินของ VPN แต่ละชนิดเป็นแพ็กเกจแยกกัน

ชนิด VPN	แพ็กเกจที่ต้องติดตั้ง	หมายเหตุ
WireGuard	wireguard-tools	NetworkManager รองรับ WireGuard ในตัว แพ็กเกจนี้เพิ่มคำสั่ง wg และ wg-quick
OpenVPN	NetworkManager-openvpn และ NetworkManager-openvpn-gnome	แพ็กเกจที่สองเพิ่มหน้าตั้งค่าบน GNOME
IPsec / IKEv2	NetworkManager-strongswan	ค้นด้วย dnf search networkmanager เพราะชื่ออาจเปลี่ยน
L2TP	NetworkManager-l2tp	มักใช้คู่กับ IPsec บนเกตเวย์องค์กรรุ่นเก่า
OpenConnect	NetworkManager-openconnect	ใช้กับเกตเวย์ขององค์กรบางแห่ง

ติดตั้งเฉพาะชนิดที่ใช้ แล้วรีสตาร์ต NetworkManager เพื่อให้ตรวจพบปลั๊กอินใหม่

sudo dnf install wireguard-tools NetworkManager-openvpn NetworkManager-openvpn-gnome
sudo systemctl restart NetworkManager

จากนั้นเปิด Settings ไปที่ Network กดเครื่องหมายบวกข้าง VPN แล้วเลือก Import from file เพื่อนำเข้าไฟล์ .ovpn หรือ .conf ของ WireGuard บน KDE spin ก็ทำได้ในลักษณะเดียวกันจากแอปเพล็ตเครือข่าย หากไม่มีปลั๊กอิน ชนิดนั้นจะไม่ปรากฏในรายการ รายละเอียดเรื่องการสร้างโปรไฟล์อ่านต่อได้ใน การเพิ่ม VPN ใน NetworkManager เมื่อคุณคุ้นกับพื้นฐานแล้ว

หากต้องเลือกระหว่าง WireGuard กับ OpenVPN สำหรับโปรไฟล์ที่คุณควบคุมเอง บทความ WireGuard กับ OpenVPN สรุปข้อดีข้อเสียไว้โดยไม่เข้าข้างฝ่ายใด

firewalld และ SELinux สองปัญหาเฉพาะของ Fedora

โซนของ firewalld อินเทอร์เฟซ VPN ที่รับส่งข้อมูลได้แต่ออกอินเทอร์เน็ตไม่ได้ มักอยู่ในโซนที่ทิ้งแพ็กเก็ตขาออกหรือแพ็กเก็ตที่ส่งต่อ ให้ตรวจว่าอินเทอร์เฟซไปอยู่โซนไหน

firewall-cmd --get-zone-of-interface=wg0
sudo firewall-cmd --zone=trusted --add-interface=wg0

คำสั่งที่สองเป็นการตั้งชั่วคราวและหายไปเมื่อโหลดใหม่ หากแก้ปัญหาได้และคุณตัดสินใจแล้วว่าอินเทอร์เฟซนั้นเชื่อถือได้จริง ค่อยทำให้ถาวรด้วย --permanent สำหรับเครื่องลูกข่าย โซนเริ่มต้นมักพอเพียง จะต้องปรับเมื่อคุณแชร์การเชื่อมต่อหรือเปิดบริการผ่านอุโมงค์เท่านั้น อย่าย้ายอินเทอร์เฟซ Wi-Fi ปกติเข้าโซน trusted เพียงเพื่อให้ VPN ทำงาน

SELinux หากการเชื่อมต่อล้มเหลวพร้อมข้อความเรื่องสิทธิ์ ให้หา denial แทนการเดา

sudo ausearch -m avc -ts recent
sudo journalctl -t setroubleshoot --since "10 minutes ago"

สาเหตุทั่วไปคือคัดลอกใบรับรองหรือคีย์ไปวางผิดโฟลเดอร์ การนำเข้าผ่าน NetworkManager จะวางไฟล์ในตำแหน่งที่ป้ายกำกับถูกต้อง แต่ถ้าคุณวางไฟล์เอง ให้คืนป้ายเริ่มต้นด้วย sudo restorecon -Rv /path/to/folder อย่าตั้ง SELinux เป็น disabled เพื่อให้ข้อผิดพลาดหายไป การตั้งเป็น permissive เพื่อทดสอบครั้งเดียว (sudo setenforce 0 แล้ว sudo setenforce 1) ยอมรับได้เมื่อต้องพิสูจน์ว่า SELinux คือสาเหตุ แต่ต้องเปิดกลับเสมอ

Silverblue, Kinoite และรุ่นที่ระบบฐานเปลี่ยนไม่ได้

บนรุ่น atomic ระบบฐานเป็นแบบอ่านอย่างเดียว แพ็กเกจจะถูกซ้อนเพิ่มด้วย rpm-ostree และมีผลหลังรีบูต

rpm-ostree install NetworkManager-openvpn-gnome
systemctl reboot

แอปแบบ Flatpak เพิ่มปลั๊กอินเครือข่ายระดับระบบไม่ได้ ปลั๊กอินจึงต้องมาจากแพ็กเกจที่ซ้อนเพิ่มนี้ หลังรีบูตให้นำเข้าโปรไฟล์ใน Settings เหมือนเดิม ควรซ้อนเฉพาะสิ่งที่จำเป็น เพราะทุกแพ็กเกจที่ซ้อนเพิ่มทำให้การอัปเกรดช้าลงเล็กน้อยและต้องสร้างใหม่ทุกครั้งที่มีอิมเมจใหม่ สำหรับโน้ตบุ๊กที่ใช้ VPN นาน ๆ ครั้ง ปลั๊กอินหนึ่งตัวถือว่าคุ้ม แต่ห้าตัวไม่คุ้ม

DNS บน Fedora หลีกเลี่ยงการรั่วแบบเงียบ ๆ

เพราะ systemd-resolved เป็นผู้ตัดสินว่าเซิร์ฟเวอร์ DNS ใดตอบ โปรไฟล์ VPN ต้องลงทะเบียนเซิร์ฟเวอร์ DNS บนลิงก์ VPN และทำให้ลิงก์นั้นเป็นเส้นทางหลักของการค้นหา ให้ตรวจหลังเชื่อมต่อ

resolvectl status wg0
resolvectl query example.org

คุณควรเห็นเซิร์ฟเวอร์ DNS บนลิงก์ VPN และค่า DefaultRoute เป็น yes หรือมี search domain เป็น ~. หากลิงก์ VPN ไม่มีเซิร์ฟเวอร์ DNS การค้นหายังไปที่เราเตอร์ ซึ่งทำให้ประโยชน์บางส่วนของ VPN หายไป อ่านเพิ่มเรื่อง DNS leak คืออะไร และบทความเรื่อง split DNS หากคุณต้องการให้เฉพาะชื่อภายในองค์กรผ่านอุโมงค์ ผู้ใช้ Fedora ที่รันตัวแคช DNS ในเครื่องหรือใช้ DNS over TLS อยู่ด้วย ควรทดสอบทีละการเปลี่ยนแปลง

IPv6 ก็ควรดูซ้ำ หากผู้ให้บริการอินเทอร์เน็ตของคุณให้ IPv6 แต่โปรไฟล์ VPN มีแค่ IPv4 ทราฟฟิกไปยังเว็บที่รองรับ IPv6 อาจออกนอกอุโมงค์ ใน NetworkManager ให้ตั้งวิธี IPv6 ของโปรไฟล์ VPN เป็น Ignore หรือ Disable หากอุโมงค์ไม่ส่ง IPv6 หรือยืนยันให้ได้ว่าอุโมงค์ส่งจริง

อัปเกรดเวอร์ชันแล้วต้องตรวจอะไรซ้ำ

Fedora ออกเวอร์ชันใหม่ประมาณปีละสองครั้ง และหลายคนอัปเกรดในที่เดิมด้วย dnf system-upgrade โปรไฟล์ใน /etc/NetworkManager/system-connections มักผ่านไปได้ครบ หลังอัปเกรดให้ใช้เวลาสองนาทีกับรายการนี้

1. รัน nmcli connection show และดูว่าโปรไฟล์ VPN ยังอยู่
2. รัน dnf list installed | grep -i networkmanager เพื่อยืนยันว่าแพ็กเกจปลั๊กอินยังอยู่ ปลั๊กอินที่ถูกถอดระหว่างอัปเกรดทำให้โปรไฟล์ล้มเหลวพร้อมข้อความคลุมเครือ
3. เชื่อมต่อใหม่และตรวจ resolvectl status ของลิงก์ VPN
4. ค่อยทดสอบความเร็วหรือการรั่วเมื่อผ่านการตรวจ DNS แล้ว
5. หากติดตั้งแอปจากไฟล์ .run ให้ตรวจว่ายังเปิดได้ การเปลี่ยนไลบรารีครั้งใหญ่บางครั้งต้องติดตั้งใหม่จากลิงก์ทางการเดิม

แก้ปัญหาบน Fedora ตามลำดับ

1. โปรไฟล์ทำงานอยู่หรือไม่ ดูด้วย nmcli connection show --active
2. ติดต่อเซิร์ฟเวอร์ VPN ได้หรือไม่ ping อาจถูกบล็อก แต่ ip route get SERVER_ADDRESS บอกได้ว่าใช้อินเทอร์เฟซใด
3. นาฬิกาถูกต้องหรือไม่ VPN แบบใช้ใบรับรองล้มเหลวเมื่อวันที่ผิด ดูด้วย timedatectl
4. DNS ผ่านอุโมงค์หรือไม่ ใช้คำสั่ง resolvectl ข้างต้น
5. โซนถูกต้องหรือไม่ firewall-cmd --get-zone-of-interface=VPN_INTERFACE
6. มี SELinux denial หรือไม่ sudo ausearch -m avc -ts recent
7. มี VPN ตัวที่สองหรือเส้นทางตกค้างรบกวนหรือไม่ ip route ควรมีเส้นทางหลักเส้นเดียวผ่านอุโมงค์
8. ยังไม่หาย อ่านรายการตรวจทั่วไปที่ VPN เชื่อมต่อไม่ได้

เปลี่ยนทีละอย่างและจดสิ่งที่เปลี่ยนไว้ ปัญหา VPN บน Fedora ส่วนใหญ่หายไปที่ขั้นที่ 4, 5 หรือ 6

ข้อผิดพลาดที่พบบ่อย

• ติดตั้งปลั๊กอินแล้วลืมรีสตาร์ต NetworkManager จึงสรุปว่าไม่รองรับชนิดนั้น
• แก้ /etc/resolv.conf ด้วยมือบนระบบที่ใช้ systemd-resolved
• ปิด SELinux หรือ firewalld ถาวร แทนที่จะอ่าน denial ข้อเดียวที่เกี่ยวข้อง
• วางใบรับรองไว้ในโฟลเดอร์ผู้ใช้แล้วให้บริการระบบอ่านจากที่นั่น
• คาดหวังว่า VPN จะปกป้องคุณ ทั้งที่ลิงก์ VPN ไม่มีเซิร์ฟเวอร์ DNS
• เก็บโปรไฟล์เก่าที่ชี้ไปยังเซิร์ฟเวอร์ที่ไม่มีอยู่แล้ว
• ใช้สคริปต์ที่คัดลอกจากฟอรัมโดยไม่อ่านก่อนว่ามันแก้ไขไฟล์ระบบอะไรบ้าง

สรุป

VPN บน Fedora ทำงานได้ดีเมื่อเข้าใจค่าเริ่มต้นสี่อย่าง คือ NetworkManager สำหรับโปรไฟล์ systemd-resolved สำหรับ DNS firewalld สำหรับโซน และ SELinux สำหรับป้ายกำกับ ติดตั้งปลั๊กอินที่ถูกต้องด้วย dnf นำเข้าหรือสร้างโปรไฟล์ ยืนยันพฤติกรรมของ DNS และ IPv6 แล้วอ่านข้อความจาก firewalld หรือ SELinux แทนการปิดระบบป้องกัน หลังอัปเกรดทุกครั้งให้ตรวจปลั๊กอินและค่า DNS ซ้ำ

หากต้องการพาสเติมเงินแบบเรียบง่ายสำหรับใช้กับแอปเดสก์ท็อป ดูตัวเลือกได้ตามสบายที่ หน้าราคา