Cách cài đặt và sử dụng VPN trên Linux (CLI và Headless)

Windscribe có hai ứng dụng cho Linux: một ứng dụng đồ họa và một ứng dụng dòng lệnh. Ứng dụng đồ họa cần môi trường desktop, nên trên máy headless hoặc chỉ có terminal, bạn hãy dùng ứng dụng Linux CLI. Hướng dẫn này nói về cách cài đặt, đăng nhập, kết nối và nơi cấu hình những phần còn lại.

Các lệnh của Linux CLI dùng tên windscribe-cli (có hậu tố -cli), ví dụ windscribe-cli login và windscribe-cli connect.

Trước khi bắt đầu

• Một tài khoản Windscribe. Bạn cần có tài khoản Windscribe. Tài khoản Free được 2 GB dữ liệu mỗi tháng, tăng lên 10 GB mỗi tháng sau khi bạn xác nhận địa chỉ email. Tài khoản Free có thể kết nối tới các vị trí miễn phí. Ngoài ra còn có các gói trả phí là Pro và Build-a-Plan.
• Ứng dụng phù hợp với môi trường của bạn. Ứng dụng Linux GUI cần môi trường desktop và không chạy được trên hệ thống headless chỉ có terminal. Với máy chủ và máy headless, hãy dùng ứng dụng Linux CLI.
• Một bản phân phối được hỗ trợ. Windscribe phát hành các bản dựng Linux CLI cho nhiều bản phân phối. Hãy tải bản dựng CLI phù hợp với bản phân phối và kiến trúc của bạn từ trang tải về.

Tải về và cài đặt

Cả ứng dụng GUI lẫn CLI đều có thể tải từ trang tải về của Windscribe. Windscribe là mã nguồn mở, mã nguồn và các tệp phát hành được đăng trên GitHub.

Với máy headless, hãy tải bản dựng Linux CLI phù hợp với bản phân phối và kiến trúc của bạn.

Debian/Ubuntu

AMD64:

curl -L https://windscribe.com/install/desktop/linux_deb_x64_cli -o windscribe.deb
sudo apt install ./windscribe.deb

ARM64:

curl -L https://windscribe.com/install/desktop/linux_deb_arm64_cli -o windscribe.deb
sudo apt install ./windscribe.deb

Các bản phân phối khác

Các bản dựng Linux CLI cho Fedora/CentOS, Arch và openSUSE có tại trang tải về. Hãy tải bản dựng cho bản phân phối của bạn và cài đặt bằng trình quản lý gói của bản phân phối đó.

Đăng nhập và kết nối

Hãy chạy các lệnh windscribe-cli bằng tài khoản người dùng thông thường của bạn. Bước duy nhất cần sudo là việc cài gói ở trên.

Đăng nhập bằng tài khoản Windscribe của bạn:

windscribe-cli login

Kết nối VPN:

windscribe-cli connect

Kiểm tra trạng thái kết nối:

windscribe-cli status

Xác minh kết nối

Sau khi đã kết nối, bạn nên xác nhận rằng lưu lượng của mình thực sự đi qua VPN. Trạng thái Connected là dấu hiệu tốt, nhưng bản thân nó chưa phải bằng chứng. Hãy bắt đầu với:

windscribe-cli status

Ngoài trạng thái kết nối và thành phố, lệnh status còn cho biết giao thức và cổng bạn đang dùng, trạng thái Firewall và lượng dữ liệu đã dùng, rất tiện để theo dõi hạn mức hằng tháng của gói Free. Có hai dấu hiệu đáng biết: dấu hoa thị trước chữ Connected nghĩa là bài kiểm tra đường hầm vẫn đang chạy, còn thông báo về nhiễu mạng nghĩa là bài kiểm tra đã phát hiện điều gì đó đáng xem xét.

Để kiểm tra độc lập trên máy headless, hãy xác nhận rằng địa chỉ IP công cộng của bạn đã thay đổi. Bạn có thể làm điều này mà không cần trình duyệt, bằng cách truy vấn một dịch vụ tra cứu trước và sau khi kết nối:

curl ifconfig.me

Nếu địa chỉ nhận được khi đang kết nối phản ánh vị trí bạn đã chọn thay vì vị trí thật, tức là lưu lượng đang đi ra qua đường hầm. Chúng tôi muốn bạn tự kiểm tra hơn là chỉ tin lời chúng tôi.

DNS cũng là điều đáng lưu ý. Theo mặc định, chúng tôi định tuyến DNS qua máy chủ của chính mình khi bạn đang kết nối, và đó là thứ áp dụng bộ lọc R.O.B.E.R.T. Nếu bạn đã đặt một máy chủ DNS tùy chỉnh trong tệp cấu hình, hãy xác nhận rằng chính máy chủ đó đang phân giải các truy vấn của bạn chứ không phải máy chủ của nhà mạng.

Đổi vị trí

Chạy windscribe-cli connect không kèm tham số sẽ kết nối lại bạn với vị trí đã dùng gần nhất, hoặc tự chọn giúp bạn một vị trí. Để xem toàn bộ danh sách vị trí có thể kết nối:

windscribe-cli locations

Các vị trí được liệt kê theo định dạng Region - City - Nickname. Bạn có thể kết nối bằng tên thành phố, tên gọi tắt, tên khu vực hoặc mã quốc gia hai chữ cái. Việc so khớp không phân biệt chữ hoa chữ thường.

windscribe-cli connect "Toronto"
windscribe-cli connect CA

Để ứng dụng tự chọn máy chủ cho bạn dựa trên độ trễ:

windscribe-cli connect best

Để xem các vị trí yêu thích của bạn, bao gồm cả những IP đã ghim:

windscribe-cli locations fav

Để ngắt kết nối VPN bất cứ lúc nào:

windscribe-cli disconnect

Đổi giao thức và cổng

Ứng dụng Linux CLI hỗ trợ WireGuard, OpenVPN ở chế độ UDP và TCP, Stealth và WStunnel. IKEv2 có trong ứng dụng Windows và macOS, nhưng không có trên Linux. Stealth và WStunnel chậm hơn và chủ yếu hữu ích trên các mạng bị hạn chế. Để đổi giao thức, hãy thêm tên giao thức sau vị trí:

windscribe-cli connect best wireguard
windscribe-cli connect "Toronto" stealth

Tên giao thức không phân biệt chữ hoa chữ thường. Để kết nối trên một cổng cụ thể, hãy thêm cổng sau giao thức, ngăn cách bằng dấu hai chấm:

windscribe-cli connect best udp:443

Để liệt kê các cổng khả dụng của một giao thức:

windscribe-cli ports wireguard

Nếu bạn nhập một cổng không khả dụng, ứng dụng sẽ quay về dùng cổng mặc định của giao thức đó.

Bật hoặc tắt Firewall

Firewall chặn lưu lượng nằm ngoài đường hầm VPN, giúp ngăn rò rỉ nếu kết nối bị rớt. Để bật hoặc tắt:

windscribe-cli firewall on
windscribe-cli firewall off

Hãy cẩn thận với Firewall trên những máy bạn quản lý qua SSH. Nếu VPN không kết nối trong khi Firewall đang bật, nó có thể chặn luôn phiên SSH của bạn cùng với mọi thứ khác. Nếu bạn kết nối qua mạng nội bộ, tùy chọn AllowLANTraffic bên dưới sẽ cho phép lưu lượng nội bộ đi qua.

Đăng xuất bằng windscribe-cli logout sẽ ngắt kết nối VPN và tắt Firewall. Để đăng xuất mà vẫn giữ Firewall bật:

windscribe-cli logout on

Cấu hình các tính năng trong tệp cấu hình

Ứng dụng Linux CLI đọc thiết lập của nó từ một tệp cấu hình:

~/.config/Windscribe/windscribe_cli.conf

Các giá trị trong tệp này phân biệt chữ hoa chữ thường và phải khớp chính xác với những giá trị được phép. Nếu một giá trị không khớp, ứng dụng sẽ dùng giá trị mặc định. Sau khi sửa tệp, hãy áp dụng thay đổi:

windscribe-cli preferences reload

Cho phép lưu lượng LAN

Cho phép các thiết bị trong mạng nội bộ truy cập máy này khi VPN và Firewall đang hoạt động. Đây là thiết lập bạn nên bật nếu SSH vào một máy headless từ cùng mạng:

[Connection]
AllowLANTraffic=true

Tự động kết nối khi khởi động

Tự động kết nối VPN khi dịch vụ Windscribe khởi động:

[Connection]
Autoconnect=true

DNS tùy chỉnh

Theo mặc định, ứng dụng dùng DNS của Windscribe khi đang kết nối, và đó là thứ áp dụng bộ lọc R.O.B.E.R.T. Để dùng một máy chủ DNS khác, hãy chuyển chế độ sang Custom và đặt một upstream. Giá trị upstream chấp nhận IP thông thường hoặc URL DNS-over-HTTPS/TLS:

[Connection]
ConnectedDNSMode=Custom
ConnectedDNSUpstream1=1.1.1.1

Split tunneling

Split tunneling định tuyến các ứng dụng hoặc dải mạng cụ thể vào trong hay ra ngoài đường hầm VPN. Chế độ Exclude gửi mọi thứ qua VPN trừ những gì bạn liệt kê. Chế độ Include chỉ gửi những gì bạn liệt kê qua VPN:

[Connection]
SplitTunnelingEnabled=true
SplitTunnelingMode=Exclude
SplitTunnelingApps=/usr/bin/curl
SplitTunnelingRoutes=192.168.1.0/24

Các mục ứng dụng là đường dẫn đầy đủ tới tệp thực thi, ngăn cách bằng dấu phẩy. Những đường dẫn không tồn tại sẽ bị bỏ qua mà không báo gì, nên hãy kiểm tra kỹ nếu một ứng dụng hoạt động không như mong đợi.

Gateway proxy

Bạn có thể chia sẻ kết nối VPN với các thiết bị khác trong mạng dưới dạng proxy HTTP hoặc SOCKS:

[Connection]
ShareProxyGatewayEnabled=true
ShareProxyGatewayMode=HTTP
ShareProxyGatewayPort=8888

Đặt ShareProxyGatewayMode thành HTTP hoặc SOCKS, và chọn bất kỳ cổng nào trong khoảng 1024 đến 65535.

Để xem danh sách đầy đủ các tùy chọn khả dụng, hãy tham khảo tài liệu tham chiếu tệp cấu hình Linux CLI.

Các lệnh hữu ích khác

Lấy địa chỉ IP mới trên cùng một máy chủ, khả dụng với một số gói khi đang kết nối:

windscribe-cli ip rotate

Kiểm tra và cài đặt bản cập nhật ứng dụng:

windscribe-cli update

Gửi nhật ký gỡ lỗi tới bộ phận hỗ trợ của Windscribe, rất tiện khi xử lý sự cố trên máy headless:

windscribe-cli logs send

R.O.B.E.R.T.

R.O.B.E.R.T. là tính năng chặn tên miền của Windscribe. Các quy tắc không được quản lý từ CLI mà được thiết lập trong Tài khoản của tôi → Bảo mật → Quy tắc tùy chỉnh. Số lượng quy tắc tùy chỉnh phụ thuộc vào gói của bạn:

• Free: tối đa 3 quy tắc tùy chỉnh
• Build-a-Plan: tối đa 10 quy tắc tùy chỉnh
• Pro: tối đa 1000 quy tắc tùy chỉnh

Xử lý sự cố

Khi có sự cố, CLI in lỗi ra terminal và trả về mã thoát 1 thay vì 0, nhờ đó các script phân biệt được thành công với thất bại. Một vài thông báo thường gặp:

Aborting: app did not start in time

CLI không khởi động được dịch vụ nền mà nó cần giao tiếp. Hãy đợi một lát rồi chạy lại lệnh. Nếu tình trạng này lặp lại, hãy kiểm tra xem dịch vụ windscribe-helper có đang chạy hay không.

Aborting: IPC communication error

Kết nối giữa CLI và dịch vụ nền bị đứt giữa chừng khi đang chạy lệnh. Chuyện này thường chỉ tạm thời, nên hãy thử lại lệnh. Nó cũng có thể xảy ra ngay sau khi bạn đổi thiết lập Firewall hoặc LAN trong lúc VPN đang hoạt động, vậy nên hãy chờ một chút cho mọi thứ ổn định rồi thử lại.

Firewall set to always on

Firewall đang ở chế độ Always On và không thể tắt từ CLI. Chế độ này được đặt trong ứng dụng desktop, nên nếu cần tắt, bạn phải đổi ở đó. Trên máy headless, bạn khó gặp trường hợp này trừ khi tùy chọn đó đã được đặt trước đó trên một hệ thống có ứng dụng đồ họa.

WireGuard adapter setup failed

Lỗi này thường cho thấy có vấn đề khi thiết lập bộ điều hợp mạng. Chuyển sang giao thức khác, chẳng hạn UDP hoặc TCP, thường giúp bạn kết nối được trong lúc tìm hiểu nguyên nhân:

windscribe-cli connect best udp

Nếu không trường hợp nào ở trên đúng với bạn, hãy gửi nhật ký gỡ lỗi cho đội hỗ trợ của chúng tôi để họ xem giúp:

windscribe-cli logs send

Nhận trợ giúp

Để xem toàn bộ danh sách lệnh mà CLI hỗ trợ, kèm mô tả ngắn cho từng lệnh, hãy chạy:

windscribe-cli --help

Để đọc các bài hướng dẫn từng bước và câu trả lời cho những câu hỏi thường gặp, cơ sở kiến thức của chúng tôi là điểm đến tiếp theo rất đáng ghé: windscribe.com/knowledge-base.

Gỡ cài đặt

Nếu cần gỡ ứng dụng CLI, hãy dùng trình quản lý gói của bản phân phối. Gói này có tên windscribe-cli.

Debian/Ubuntu

Gỡ gói:

sudo apt remove windscribe-cli

Để xóa luôn cấu hình hệ thống, hãy dùng purge thay thế:

sudo apt purge windscribe-cli

Các bản phân phối khác

Trên Fedora/CentOS, Arch hoặc openSUSE, hãy gỡ gói windscribe-cli bằng trình quản lý gói của bạn, ví dụ dnf remove, pacman -R hoặc zypper remove.

Thiết lập cá nhân của bạn nằm trong một thư mục cấu hình riêng mà trình quản lý gói không đụng tới. Nếu muốn xóa cả phần đó, hãy xóa thư mục này:

rm -r ~/.config/Windscribe

Câu hỏi thường gặp