OpenVPN wat begin voordat die netwerk gereed is, is nie 'n mislukking nie

Jy begin die kliënt by die opstart, die eenheid rapporteer aktief, en die tonnel is nie daar nie. Die natuurlike gevolgtrekking is dat die diens nie begin het nie, en die natuurlike regstelling is om dit weer te begin. Albei is dikwels genoeg verkeerd om 'n reël te regverdig: 'n werkende kliënt wat weer probeer, lyk van buite presies soos een wat stukkend is. Die verskil lê in wat die proses doen, nie in die toestand van die eenheid nie.

Mite: 'n diens wat begin het, beteken 'n werkende tonnel

'n Aktiewe eenheid bewys dat die proses begin is en nie afgesluit het nie. Dit bewys nie dat die profiel gelaai is, die sertifikaat aanvaar is of die ander kant geantwoord het nie. 'n Verpakte kliënt kan minute lank in 'n herprobeer-lus sit terwyl systemd niks anders as sukses rapporteer nie. Daardie gaping tussen toestand en gedrag is die hele onderwerp.

Die teenoorgestelde geval is net so algemeen. Die proses het dalk afgesluit nadat dit nie 'n sleutel kon lees nie, en die eenheid rapporteer dan 'n mislukte toestand wat niks sê oor hoekom nie. Albei toestande het die log nodig om hulle te onderskei.

Lees die joernaal vir die instansie eerder as die eenheid se toestand. Die rede-reël is in die log, nie in die statusetiket nie.

Mite: herprobeer-instellings dek elke mislukking

Naamresolusie en vervoer-herprobeer is aparte beheermaatreëls met aparte verstekwaardes. resolv-retry beheer herhaalde opsoeke van 'n afgeleë gasheernaam, en die gedokumenteerde verstek hou aan probeer sonder einde. connect-retry stel die interval tussen pogings in, terwyl connect-retry-max kan beperk hoe baie keer elke afgeleë inskrywing probeer word. Kyk watter stadium die log noem voordat jy enige van hulle verander.

Niks daarvan geld vir 'n wanvormige profiel, 'n onleesbare privaatsleutel of 'n verwerpte rekening nie. Dié het 'n regstelling nodig, en 'n kliënt wat hulle aanhou probeer, maak nie vordering nie.

Om 'n ongoedgekeurde sertifikaat vir ewig te probeer, is nie 'n rede om verifikasie te verwyder nie. Dit is 'n rede om die fout te lees.

Mite: een lanseerder is genoeg, so voeg nog een by

'n Verbinding wat reeds deur NetworkManager of 'n verpakte eenheid bestuur word, het nie 'n tweede lanseerder nodig wat daaraan gekoppel is nie. Twee prosesse wat om dieselfde roetes meeding, lewer duplikaat-koppelvlakke, verwarrende logs en 'n tonnel wat flapper om redes wat niemand kan sien nie. Die tweede kopie kom gewoonlik as 'n omweg omdat die eerste een stadig is.

Besluit watter komponent die tonnel besit voordat jy iets byvoeg. Verwyder dan die ander lanseerder eerder as om dit te deaktiveer en te hoop.

Die eienaar bepaal ook waar herprobeer en geloofsbriewe vandaan kom, en daarom kom hierdie besluit voor enige instelling. Eienaarskap kom eerste juis om daardie rede.

Wat eintlik ordening nodig het

Ordening kan op 'n gekonfigureerde adres wag, en dit is al wat dit waarborg. network-online.target vertraag aktivering totdat die bestuurder die netwerk as op beskou, en die definisie van op hang van die bestuurder af. Dit sê niks oor of die VPN-gasheernaam oplos, of die luisteraar antwoord, of 'n captive portal die toestel toegelaat het nie.

Lees die geïnstalleerde eenheid en enige drop-ins voordat jy afhanklikhede byvoeg. 'n Breë After= op elke netwerkdiens vertraag die opstart sonder om die verbinding te vestig wat jy eintlik nodig het.

Orden die afhanklikheid wat jy kan toets, en kontroleer al die res met 'n gereedheidsprobe. 'n Probe wat die tonnel oopmaak, klop 'n tydhouer wat raai.

Wat gebeur nadat die tonnel die eerste keer opkom

Opstart is een gebeurtenis onder baie. Die toegangskakel verander, 'n portaal-sessie verval, die eweknie herbegin. Onderskei 'n interne herverbinding van 'n proses-afsluiting wat die diensbestuurder hanteer, want die twee het verskillende eienaars en laat verskillende bewyse.

Interaktiewe verifikasie beperk onbewaakte herstel. 'n Agtergrond-eenheid ontsluit nie 'n lessenaar-sleutelring nie en antwoord nie 'n MFA-vraag nie, so volg die goedgekeurde geloofsbrief-reëling vir die dienskonteks.

Besluit afsonderlik wat toepassings mag doen terwyl die tonnel af is. Herprobeer herstel 'n verbinding, terwyl 'n blokkeringsbeleid besluit of direkte verkeer in die gaping toegelaat word.