Mullvad VPN na Ubuntu Server

VPN Split Tunnel

Split Tunnel umožňuje směrovat část provozu aplikací nebo zařízení přes šifrovanou VPN, zatímco jiným aplikacím nebo zařízením nechat přímý přístup k internetu. To je zvláště užitečné při využívání služeb, které s použítím VPN nefungují tak, jak by bylo očekáváno.

VPN Split Tunel pro NTP service systemd-timesyncd

systemd-timesyncd daemon je zodpovědný za synchronizaci času serveru s přesným světovým časem dle nastavené časové zóny. Správná funkce tohoto daemona je zásadní při všech službách pracujících s časem. Tou je například i 2-faktorové ověřování (2FA) pro možnost se k serveru vůbec přihlásit.

• Zjištění stavu timedatectl

  timedatectl status - zjištění stavu systemd-timesyncd daemonu

  Výstupem je informace o různých časech. Zásadními řádky jsou NTP service se stavem active (lze aktivovat příkazem timedatectl set-ntp true ) a poté řádek System clock synchronized s hodnotou yes. Ovšem, stav yes může být v případě používání VPN lichý - a to stav z doby před aktivací VPN. Problém je, že VPN může blokovat přístuk k NTP serverům a tím zamezit synchronizaci času.

• Zjištění stavu systemd-timesyncd služby

  Stav služby zjistíme dotazem systemctl status systemd-timesyncd. Zde nás zajímá stav klíče Status. Stav "Initial synchronization to time server ..." je běžný, jedná se o funkční stav. Současně stav zahrnuje IP adresu NTP serveru, který je službou k synchronizaci času využíván. Problematický je stav Idle.

• Test přístupu k IP NTP serveru

  IP NTP serveru lze zjistit rovněž pod příkazem timedatectl timesync-status, který ukazuje detailní časové hodnoty vztahující se k přesnosti času na serveru. IP NTP serveru, který je službou využíván, je pod hodnotu klíče Server. Možnost přístupu k danému serveru lze zjistit příkazem ping s adresou serveru, např. ping 8.8.8.8. Jestliže jsme schopni IP NTP serveru pingnout, vše je v pořádku.

• Nastavení Spilt Tunelu VPN, pokud není možné NTP server pingnout

  • Split tunel je potřeba v případě NTP serveru řešit, jestliže:
    • timedatectl status ukazuje "System clock synchronized: no"
    • systemctl status systemd-timesyncd ukazuje stav "Status: Idle."
    • není možné NTP server pingnout

    Split Tunel lze aktivovat pro jakoukoli službu na serveru, a to na základě jejího pid. PID zjistíme příkazem systemctl status systemd-timesyncd, kdy pid číslo je pod klíčem Main PID.

  • pid služby lze vložit do mullvad VPN klienta příkazem:
    
    Ver 2023.6 +
    mullvad split-tunnel add <pid>
    Older ver
    mullvad split-tunnel pid add <pid>

    Od této chvíle by služba měla být prostřednictvím Split Tunnelu z VPN vyloučena. Opětovně zkontrolujte stav služby systemctl status systemd-timesyncd. Samotný ping bude i nadále neúspěšný, jelikož ten vykonáváte z vašeho účtu a ne účtu vyjmuté služby.

    • Nastavení automatického nastavení tunnelu na start Ubuntu OS

  • Další užitečné příkazy:

    Ver 2023.6 +
    • mullvad split-tunnel list - Zobraz všechny vyjmuté služby z VPN
    • mullvad split-tunnel delete <pid> - Obnov dříve vyloučený proces z VPN
    • mullvad split-tunnel clear - obnovit všechny dříve vyloučené procesy
    Older ver
    • mullvad split-tunnel pid list - Zobraz všechny vyjmuté služby z VPN
    • mullvad split-tunnel pid delete <pid> - Obnov dříve vyloučený proces z VPN
    • mullvad split-tunnel pid clear - obnovit všechny dříve vyloučené procesy
• Další příkazy

Automatická kontrola synchroniazce času a nastavení Split Tunnelu pro Mullvad VPN v případě, kdy čas není synchronizovaný

Níže je postup vytvoření mechanismu, kdy po spuštění systému a následně v pravidelných intervalech probíhá kontrola stavu synchronizace systémového času. Není-li čas synchronizován, nastaví se splitting VPN tunelu pro službu spravující čas serveru.

Postup níže zjistí zjištění PID služby systemd-timesyncd a následně tuto službu vyjme z provozu jdoucího skrze VPN.

1. Vytvořte soubor set_mullvad_split_tunnel.sh

   sudo nano /usr/local/bin/mullvad_split_tunnel_setup.sh

   Zkopírujte do souboru kód níže

   #!/bin/bash
   # check sync status of timedatectl
   sync_status=$(timedatectl status | grep -oP 'System clock synchronized: \K\w+')
   
   if [[ $sync_status == "no" ]]; then
       # system time is not synchronized - set split tunnel for systemd-timesyncd service
   	
   	# Get PID of systemd-timesyncd
   	SERVICE_PID=$(pgrep -f systemd-timesyncd)
   
   	if [[ ! -z "$SERVICE_PID" ]]; then
   		# Add PID to Mullvad split tunnel configuration
   		mullvad split-tunnel add $SERVICE_PID
   		echo "New VPN Split tunnel was set for PID $SERVICE_PID"
   	else
   		echo "Failed to get PID of systemd-timesyncd."
   	fi
   else
       echo "System time is synchronized, no need of setting VPN split tunnel"
   fi

   Nastavte souboru oprávnění ke spouštění

   sudo chmod +x /usr/local/bin/mullvad_split_tunnel_setup.sh

2. Vytvořte systemd soubor služby servertime_sync_check.service, prostřednictvím které se bude spouštět script mullvad_split_tunnel_setup.sh

   sudo nano /etc/systemd/system/servertime_sync_check.service

   Zkopírujte do souboru kód níže

   [Unit]
   Description=Check time synchronization and setup Mullvad VPN split tunneling if needed
   
   [Service]
   Type=oneshot
   ExecStart=/usr/local/bin/mullvad_split_tunnel_setup.sh
   
   [Install]
   WantedBy=multi-user.target

3. Vytvořte časovač služby servertime_sync_check

   sudo nano /etc/systemd/system/servertime_sync_check.timer

   Zkopírujte do souboru kód níže

   [Unit]
   Description=Timer to regularly check time synchronization
   
   [Timer]
   # Run it in 30 minutes interval
   OnCalendar=*:0/30
   Persistent=true
   
   [Install]
   WantedBy=timers.target

4. Načtěte provedené změny do systému

   sudo systemctl daemon-reload

5. Povolte automatické spuštění služeb při startu počítače

   sudo systemctl enable servertime_sync_check.service
   sudo systemctl enable servertime_sync_check.timer

6. Spusťte servertime_sync_check.timer service

   sudo systemctl start servertime_sync_check.timer

   servertime_sync_check.service potřeba spouštět není. Je spouštěn prostřednictvím servertime_sync_check.timer. Jelikož se používá direktiva Persistent=true, jestliže některá z kontrol byla vynechána (napříkald počítač byl v dané době vypnutý), kontrola se vykoná současně i co nejdříve po spuštění počítače.

7. Kontrolujte logy služby

   journalctl -u servertime_sync_check.service