عميل Kerio VPN على Linux: خمسة فحوص بالترتيب

لا تظهر أي أيقونة على سطح المكتب بعد تثبيت عميل Kerio VPN على Linux، وتبقى الشبكة الخاصة بعيدة عن المتناول. هذا هو الشكل الطبيعي لهذا العميل وليس تثبيتًا معطوبًا: فتعليمات GFI لنظام Linux تصف إعدادًا من سطر الأوامر وسكربت خدمة، دون أي واجهة رسومية على الإطلاق. نفّذ الفحوص أدناه بالترتيب، لأن كل فحص يزيل طبقة مختلفة. وأول فشل يخبرك أين تتوقف، والتخطي إلى ما بعده يعني عادةً إعادة بناء حزمة لم تكن هي المشكلة قط.

تأكد من مطابقة البناء للجهاز

ابدأ بما dpkg يظنه الجهاز، وبما بُنيت الحزمة من أجله. في نظام عادي بمعمارية 64، الأمر dpkg --print-architecture يطبع amd64، وتعرض صفحة المورّد حزمة amd64 إلى جانب حزمة Debian العادية. اقرأ سلسلة الإصدار في اسم الملف الذي ثبّتته فعليًا بدلًا من افتراض أن الاثنين متطابقان.

أرشيف من سنة 2013 بُني لمعمارية i386 لا يصبح 64 بت لمجرد أنك مرّرت --force-architecture عند التثبيت. إن فرضت ذلك فأنت تثبّت ملفات تنفيذية غريبة، وتخفي فشل اعتماد خلف مشغّل لا يزال يبدأ، وقد تترك الخدمة تحمّل مكتبات خاطئة. وإذا كان الإصدار الذي لديك يوفّر 32 بت فقط، فشغّله في بيئة 32 بت أو اطلب من مسؤول البوابة بناءً حديثًا.

افحص سطر الاعتماديات كذلك. dpkg -s kerio-control-vpnclient | grep -i depends يوضّح ما تتوقعه الحزمة، وهنا يظهر تثبيت إصدار غير ملبّى أو مكتبة تشغيل مفقودة، لا في سجل العميل.

اضبطه عبر معالج الحزمة

لا يملك هذا العميل أي مدخل في درج التطبيقات بحكم التصميم، لذا لا تقول أيقونة مفقودة شيئًا عن نجاح الإعداد. أعد فتح المعالج بالأمر sudo dpkg-reconfigure kerio-control-vpnclient وأجب عن مطالبه: نقطة نهاية VPN، وتفاصيل الحساب، وبصمة شهادة الخادم.

تعامل مع مطالبة البصمة باعتبارها الموضع الوحيد الذي يمكن فيه لخادم خاطئ أن يفوز. قارن القيمة بمعلومات الخادم الواردة من المسؤول الذي يدير البوابة، لا بما تعرضه نقطة النهاية. وقبول بصمة لا تستطيع التحقق منها يحوّل بقية هذه القائمة إلى زينة، لأن الخادم المعادي يبدو مطابقًا للخادم الحقيقي بمجرد تخزين التثبيت. وإذا تعذّر تأكيد القيمة عبر قناة أخرى، فتوقف واسأل، حتى لو كان النفق سيرتفع لولا ذلك.

إعادة تشغيل المعالج تغيّر الإعداد وقد تعيد تشغيل العميل، لذا احتفظ بمسار ثانٍ إلى الجهاز حين تعتمد الجلسة التي تعمل عبرها على ذلك النفق. اكتب كلمة المرور عند المطالبة العادية بدلًا من تضمينها في أمر ينتهي في سجل الصدفة.

اعرف الملف الذي يكتبه المعالج

يقع الإعداد في /etc/kerio-kvc.conf، وهو يحمل الحساب والبصمة المثبّتة معًا. تعامل معه كمادة سرية. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf يجب ألا يظهره قابلًا للقراءة للجميع.

بعد تعديل يدوي مصرّح به، أعد تحميل الخدمة التي تملك الملف بدلًا من إعادة تشغيل حزمة الشبكة: sudo /etc/init.d/kerio-kvc reload. إعادة التحميل تقرأ الإعداد من جديد وتُسقط الجلسة الحالية، فهي ليست عملية بلا أثر على اتصال حي.

انسخ الملف السابق قبل أن تغيّر أي شيء. إن فشلت المصادقة بعد التعديل، فإن استعادة آخر نسخة سليمة تستغرق ثوانٍ وتعزل التعديل عن الشبكة، وهي أرخص طريقة لمعرفة أي الاثنين تحرّك.

افصل الجلسة الحية عن سلوك الإقلاع

سكربت الخدمة يتحكم في الاتصال الحالي: sudo /etc/init.d/kerio-kvc stop ينهي النفق الآن، ثم start يعيده. ولا يحدد أي من الأمرين ما سيحدث عند الإقلاع التالي، وهذا الفرق مهم على جهاز تديره عن بُعد.

افحص من يملك بدء التشغيل قبل إزالة الروابط أو تعطيل أي شيء. قد تثبّت الحزمة سكربت تهيئة خاصًا بها، أو تولّد وحدة، أو تفعل الاثنين، وتعطيل الاسم الخاطئ يعيد العميل بعد إعادة الإقلاع. تحقق من systemctl status kerio-kvc مقابل الاسم الذي تستخدمه وثائق الحزمة، ثم عطّل المسار الذي تقرأه عملية الإقلاع فعلاً.

لا تستبدل وحدة OpenVPN لأن الإعداد يبدو مشابهًا. هذا العميل يتحدث بروتوكوله الخاص إلى بوابة Kerio، لذا فإن خدمة أخرى تشير إلى الملف نفسه لن تنجح مصادقتها، والفشل الإضافي يجعل الأدلة أصعب قراءة. كما يحتفظ عميل GFI على Linux باتصال VPN واحد في كل مرة؛ وهذا الحد يخص العميل لا سعة مستخدمي البوابة.

اقرأ السجلات ثم تحقق من المورد

ثلاثة ملفات تحت /var/log/kerio-kvc تحكي قصة الخدمة: init.log لأحداث دورة الحياة، ثم error.log للإخفاقات الحرجة، ثم debug.log للتفاصيل. اقرأ أصغر مقتطف يجيب عن سؤالك، وأزل نقاط النهاية وأسماء المستخدمين قبل لصقه في أي مكان. ووجود فجوة في init.log حول وقت تشغيلك للمعالج يخبرك بأن الخدمة لم تُعد التشغيل أبدًا.

الحزمة الصالحة والخدمة العاملة والمورد الذي يمكن الوصول إليه ثلاث نتائج منفصلة، ولا تكتمل القائمة إلا بتحقق الثلاث. بعد تغيير معتمد، اطلب مضيفًا لا وجود له إلا خلف البوابة، ثم افتح خدمة عادية عليه. وإذا كان النفق قائمًا والمورد غير متاح، فالعطل الباقي يقع في مسار على البوابة أو قاعدة جدار حماية، لا في العميل الذي أعدت ضبطه للتو.

سجّل الحالة التي انتهيت إليها: إصدار الحزمة، والمعمارية، وهل تحققت البصمة عبر قناة أخرى، وأي إعادة تحميل أو إعادة تشغيل نفّذت. تلك الملاحظة هي ما يجعل أول فحص للشخص التالي رخيصًا.