Kerio VPN-kliënt op Linux: vyf kontroles in volgorde

Na die installering van die Kerio VPN-kliënt op Linux verskyn daar geen lessenaarikoon nie, en die private netwerk bly buite bereik. Dit is die normale vorm van hierdie kliënt eerder as 'n gebreekte installasie: GFI se Linux-instruksies beskryf opdragreëlkonfigurasie en 'n diensskrip, met glad geen GUI nie. Werk die kontroles hieronder in volgorde deur, want elkeen verwyder 'n ander laag. Die eerste fout wys waar jy moet stop, en om vooruit te spring beteken gewoonlik dat jy 'n pakket herbou wat nooit die probleem was nie.

Bevestig dat die bou by die masjien pas

Begin met wat dpkg dink die masjien is en waarvoor die pakket gebou is. Op 'n normale 64-bis-stelsel, dpkg --print-architecture druk amd64, en die verskafferblad lys 'n amd64-pakket langs die gewone Debian-een. Lees die vrystellingsstring in die lêernaam wat jy werklik geïnstalleer het in plaas daarvan om te aanvaar dat die twee ooreenstem.

'n Argief uit 2013 wat vir i386 gebou is, word nie 64-bis net omdat jy --force-architecture gebruik het nie. Om dit te forseer, installeer vreemde binaries, verberg 'n afhanklikheidsfout agter 'n lanseerder wat steeds begin, en kan die daemon die verkeerde biblioteke laat laai. As die vrystelling wat jy het net 32-bis lewer, laat dit in 'n 32-bis-omgewing loop of vra die gateway-eienaar vir 'n huidige bou.

Kontroleer ook die afhanklikheidslyn. dpkg -s kerio-control-vpnclient | grep -i depends wys wat die pakket verwag, en 'n onbevredigde weergawe-beperking of 'n ontbrekende looptydbiblioteek kom hier na vore eerder as in die kliëntlogboek.

Konfigureer dit deur die pakket se towenaar

Die kliënt het by ontwerp geen inskrywing in die programlaaier nie, so 'n ontbrekende ikoon sê niks oor of die konfigurasie geslaag het nie. Heropen die towenaar met sudo dpkg-reconfigure kerio-control-vpnclient en beantwoord die vrae: VPN-eindpunt, rekeningbesonderhede en die bediener se sertifikaatvingerafdruk.

Beskou die vingerafdrukvraag as die enigste plek waar 'n verkeerde bediener kan wen. Vergelyk die waarde met die bedienerinligting van die administrateur wat die gateway bestuur, nie met wat die eindpunt ook al voorhou nie. Om 'n vingerafdruk te aanvaar wat jy nie kan verifieer nie, maak die res van hierdie kontrolelys tot versiering, want 'n vyandige bediener lyk identies aan die regte een sodra die pen vasgelê is. As die waarde nie buite die kanaal bevestig kan word nie, stop en vra, selfs wanneer die tonnel andersins sou opkom.

Om die towenaar weer te laat loop, verander die konfigurasie en kan die kliënt herbegin, so hou 'n tweede pad na die masjien wanneer die sessie waarmee jy werk van daardie VPN afhang. Tik die wagwoord by die gewone opdrag eerder as om dit in 'n opdrag in te bed wat in die skulphistorie beland.

Ken die lêer wat die towenaar skryf

Konfigurasie woon in /etc/kerio-kvc.conf, en dit dra beide die rekening en die vasgelê vingerafdruk. Behandel dit as geheime materiaal. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf moet dit nie as wêreldleesbaar wys nie.

Laai ná 'n gemagtigde handmatige wysiging die daemon wat die lêer besit, eerder as om die netwerkstapel te herbegin: sudo /etc/init.d/kerio-kvc reload. 'n Herlaai lees die konfigurasie weer en laat die huidige sessie val, so dit is nie 'n niksdoen op 'n lewendige verbinding nie.

Kopieer die vorige lêer voordat jy iets verander. As verifikasie ná 'n wysiging misluk, neem die herstel van die laaste goeie kopie sekondes en skei dit die wysiging van die netwerk, wat die goedkoopste manier is om te leer watter een beweeg het.

Skei die lewendige sessie van die opstartgedrag

Die diensskrip beheer die huidige verbinding: sudo /etc/init.d/kerio-kvc stop beëindig die tonnel nou en start bring dit terug. Nie een opdrag bepaal wat by die volgende opstart gebeur nie, en daardie verskil maak saak op 'n masjien wat jy op afstand bestuur.

Ondersoek wie die opstart besit voordat jy skakels verwyder of iets maskeer. Die pakket kan sy eie initskrip installeer, 'n eenheid genereer, of albei doen, en om die verkeerde naam te deaktiveer laat die kliënt ná 'n herbegin terugkom. Kontroleer systemctl status kerio-kvc teen die naam wat die pakket se dokumentasie gebruik, en deaktiveer dan die pad wat die opstartproses werklik lees.

Moenie 'n OpenVPN-eenheid in die plek stel omdat die konfigurasie soortgelyk lyk nie. Hierdie kliënt praat sy eie protokol met die Kerio-gateway, so 'n ander daemon wat na dieselfde lêer wys, sal nie verifieer nie, en die ekstra fout maak die bewyse moeiliker leesbaar. GFI se Linux-kliënt hou ook net een VPN-verbinding op 'n slag; daardie beperking geld vir die kliënt, nie vir die gateway se gebruikerskapasiteit nie.

Lees die logboeke en verifieer dan die hulpbron

Drie lêers onder /var/log/kerio-kvc dra die daemon se verhaal: init.log vir lewensiklusgebeurtenisse, error.log vir kritieke foute, en debug.log vir besonderhede. Lees die kleinste uittreksel wat jou vraag beantwoord, en verwyder eindpunte en gebruikersname voordat jy dit êrens plak. 'n Gap in init.log rondom die tyd wat jy die towenaar laat loop het, sê vir jou die daemon het nooit herbegin nie.

'n Geldige pakket, 'n lopende daemon en 'n bereikbare hulpbron is drie aparte resultate, en die kontrolelys is eers klaar wanneer al drie geld. Vra ná 'n goedgekeurde verandering 'n gasheer wat net agter die gateway bestaan, en open dan 'n normale diens daarop. As die tonnel op is en die hulpbron nie, sit die oorblywende fout in 'n gateway-roete of 'n firewall-reël eerder as in die kliënt wat jy pas herkonfigureer het.

Noteer die toestand waarin jy geëindig het: pakketvrystelling, argitektuur, of die vingerafdruk buite die kanaal geverifieer is, en watter herlaai of herbegin jy gedoen het. Daardie nota maak die volgende persoon se eerste kontrole goedkoop.