Кліент Kerio VPN у Linux: пяць праверак па парадку

Пасля ўсталявання кліента Kerio VPN у Linux не з'яўляецца ніводнай іконкі на працоўным стале, а прыватная сетка застаецца недасяжнай. Гэта звычайная форма гэтага кліента, а не зламаная ўсталёўка: інструкцыі GFI для Linux апісваюць наладжванне праз камандны радок і службовы скрыпт, зусім без графічнага інтэрфейсу. Прайдзіце праверкі ніжэй па парадку, бо кожная здымае свой пласт. Першая няўдача паказвае, дзе спыніцца, а пераскок наперад звычайна азначае перазборку пакета, які ніколі не быў праблемай.

Пераканайцеся, што зборка адпавядае машыне

Пачніце з таго, што dpkg думае пра машыну, і для чаго быў сабраны пакет. У звычайнай 64-бітнай сістэме dpkg --print-architecture выводзіць amd64, а старонка пастаўшчыка пералічвае пакет amd64 побач са звычайным Debian. Чытайце радок выпуску ў імені файла, які вы насамрэч усталявалі, замест таго каб меркаваць, што два супадаюць.

Архіў 2013 года, сабраны для i386, не становіцца 64-бітным толькі таму, што вы перадалі --force-architecture пры ўсталяванні. Прымусовая ўсталёўка ставіць чужыя бінарнікі, хавае збой залежнасцей за запускальнікам, які ўсё яшчэ стартуе, і можа прымусіць дэман загрузіць не тыя бібліятэкі. Калі ваш выпуск пастаўляецца толькі 32-бітным, запусціце яго ў 32-бітным асяроддзі або папрасіце ўладальніка шлюза актуальную зборку.

Праверце таксама радок залежнасцей. dpkg -s kerio-control-vpnclient | grep -i depends паказвае, што чакае пакет, і незадаволенае абмежаванне версіі або адсутная бібліятэка выканання выяўляюцца тут, а не ў журнале кліента.

Наладзьце яго праз майстар пакета

Кліент па задуме не мае запісу ў спісе праграм, таму адсутная іконка нічога не кажа пра поспех наладжвання. Каб зноў адкрыць майстар, выканайце sudo dpkg-reconfigure kerio-control-vpnclient і адкажыце на яго запыты: канчатковы пункт VPN, звесткі пра ўліковы запіс і адбітак сертыфіката сервера.

Стаўцеся да запыту адбітка як да адзінага месца, дзе няправільны сервер можа перамагчы. Параўнайце значэнне са звесткамі пра сервер ад адміністратара, які кіруе шлюзам, а не з тым, што прапануе канчатковы пункт. Прыняцце адбітка, які вы не можаце праверыць, ператварае рэшту гэтага спіса ў упрыгожанне, бо варожы сервер выглядае ідэнтычна сапраўднаму, як толькі замацаванне захаванае. Калі значэнне нельга пацвердзіць па іншым канале, спыніцеся і спытайце, нават калі тунэль інакш падняўся б.

Паўторны запуск майстра змяняе канфігурацыю і можа перазапусціць кліента, таму трымайце другі шлях да машыны, калі сеанс, праз які вы працуеце, залежыць ад гэтага VPN. Уводзьце пароль у звычайным запыце, а не ўбудоўвайце яго ў каманду, якая трапіць у гісторыю абалонкі.

Ведайце файл, які піша майстар

Канфігурацыя знаходзіцца ў /etc/kerio-kvc.conf і змяшчае як уліковы запіс, так і замацаваны адбітак. Стаўцеся да яго як да сакрэтнага матэрыялу. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf не павінна паказваць яго чытэльным для ўсіх.

Пасля дазволенай ручной правакі перазагрузіце дэман, які валодае файлам, а не перазапускайце сеткавы стек: sudo /etc/init.d/kerio-kvc reload. Перазагрузка перачытвае канфігурацыю і скідае бягучы сеанс, таму гэта не бяздзейнасць для жывога злучэння.

Скапіруйце папярэдні файл, перш чым што-небудзь змяняць. Калі пасля правакі аўтэнтыфікацыя не праходзіць, аднаўленне апошняй працоўнай копіі займае секунды і аддзяляе праваку ад сеткі, што з'яўляецца самым танным спосабам даведацца, які з двух зрушыўся.

Аддзяліце жывы сеанс ад паводзін пры загрузцы

Службовы скрыпт кіруе бягучым злучэннем: sudo /etc/init.d/kerio-kvc stop завяршае тунэль зараз, а start вяртае яго. Ніводная каманда не вырашае, што будзе пры наступнай загрузцы, і гэтая розніца важная на машыне, якой вы кіруеце аддалена.

Высветліце, хто валодае аўтазапускам, перш чым выдаляць спасылкі або нешта маскаваць. Пакет можа ўсталяваць уласны init-скрыпт, згенераваць unit або зрабіць і тое і іншае, і адключэнне не таго імя вяртае кліент пасля перазагрузкі. Праверце systemctl status kerio-kvc супраць імя, якое выкарыстоўвае дакументацыя пакета, затым адключыце шлях, які сапраўды чытае працэс загрузкі.

Не падмяняйце unit OpenVPN толькі таму, што канфігурацыя выглядае падобна. Гэты кліент размаўляе сваім уласным пратаколам са шлюзам Kerio, таму іншы дэман, накіраваны на той самы файл, не пройдзе аўтэнтыфікацыю, і дадатковая няўдача робіць доказы цяжэйшымі для чытання. Кліент GFI для Linux таксама трымае адно VPN-злучэнне адначасова; гэтае абмежаванне датычыцца кліента, а не карыстальніцкай ёмістасці шлюза.

Прачытайце журналы, затым праверце рэсурс

Тры файлы ў /var/log/kerio-kvc расказваюць гісторыю дэмана: init.log для падзей жыццёвага цыкла, error.log для крытычных збояў і debug.log для дэталяў. Чытайце найменшы фрагмент, які адказвае на ваша пытанне, і выдаліце канчатковыя пункты і імёны карыстальнікаў, перш чым дзе-небудзь уставіць яго. Прагал у init.log каля таго часу, калі вы запускалі майстар, кажа пра тое, што дэман так і не перазапусціўся.

Сапраўдны пакет, працуючы дэман і дасяжны рэсурс — гэта тры асобныя вынікі, і спіс завершаны толькі тады, калі выконваюцца ўсе тры. Пасля ўзгодненага змянення запытайце хост, які існуе толькі за шлюзам, затым адкрыйце на ім звычайную службу. Калі тунэль падняты, а рэсурс недасяжны, астатняя няспраўнасць сядзіць у маршруце шлюза або правіле міжсеткавага экрана, а не ў кліенце, які вы толькі што пераналадзілі.

Запішыце стан, у якім вы скончылі: выпуск пакета, архітэктуру, ці быў адбітак пацверджаны па іншым канале і якую перазагрузку або перазапуск вы зрабілі. Менавіта гэтая нататка робіць першую праверку наступнага чалавека таннай.