Кліент SoftEther пры загрузцы: AccountStartupSet і парадак дэмана

Пасля перазагрузкі машына зноў аказваецца ў сетцы з апушчаным тунелем. Кліент SoftEther трымае два станы, якія большасць людзей лічаць адным: ці працуе служба і ці дазволена захаванаму ўліковаму запісу паднімацца разам з ёй. Павінны быць праўдзівымі абодва, а другі — гэта сцяг на ўзроўні ўліковага запісу, а не налада загрузкі. Выканайце чатыры праверкі ніжэй па парадку і спыніцеся на першай няўдачы.

Пераканайцеся, што ўліковы запіс пазначаны для аўтаматычнага запуску

Сцяг жыве ў запісе ўліковага запісу ўнутры ўласнай канфігурацыі кліента, таму пераўсталёўка кліента або аднаўленне пустой папкі яго выдаляе. Адкрыйце кансоль кіравання і паглядзіце на спіс уліковых запісаў, перш чым нешта іншае змяняць.

cd /opt/softether/vpnclient
./vpncmd

Выберыце 2 для кіравання кліентам VPN і прывяжыце лакальны сервер націскам Enter.

AccountStartupSet
office-hub
exit

AccountStartupSet пазначае ўліковы запіс як такі, што павінен быць падняты пры запуску службы кліента. Ён не запускае службу і не стварае новы ўліковы запіс, а пры няправільным імені не друкуе нічога карыснага. Прачытайце спіс уліковых запісаў яшчэ раз пасля каманды, бо друкарская памылка маўклівая і выглядае гэтак жа, як сцяг, што не набыў моцы.

Пераканайцеся, што служба запускаецца, і дастаткова рана

У Linux кліент працуе як дэман са сваёй папкі, і ён павінен быць запушчаны да таго, як любы крок загрузкі паспрабуе выкарыстаць уліковы запіс. Кароткі хук, які змяняе папку і запускае яго, дастатковы ў сістэмах, дзе яшчэ ёсць rc.local.

cd /opt/softether/vpnclient
./vpnclient start

Там, дзе rc.local ужо няма, напішыце unit systemd з явным WorkingDirectory і палітыкай перазапуску. Бінарнік разлічвае канфігурацыю адносна месца, з якога ён запушчаны, таму unit без гэтай налады можа паспяхова запусціцца і нічога не прачытаць. Чарговасць — другая палова праблемы: спроба злучэння, якая ідзе да таго, як дэман пачаў слухаць, зрэдку правальваецца, і гэта значна цяжэй дыягнаставаць, чым пастаянную няўдачу. Палітыка перазапуску закрывае трэці выпадак, калі дэман ціха памірае праз гадзіны.

Праверце спіс працэсаў, а не давярайце файлу pid, пакінутаму папярэдняй загрузкай.

Пераканайцеся, што адаптар атрымаў адрас

Як толькі ўліковы запіс падключыцца, кліент прадстаўляе віртуальны адаптар, і адаптару ўсё яшчэ патрэбен адрас. Хаб з SecureNAT звычайна адказвае на DHCP; хаб, змацаваны з фізічнай LAN, чакае, што замест гэтага адкажа сервер гэтай LAN.

ip -brief address
dhclient vpn_vpn1

Вазьміце імя інтэрфейса са спісу, бо лік у прыкладзе не з’яўляецца канстантай. Калі адрас мусіць быць статычным, прапішыце яго ў сеткавай канфігурацыі дыстрыбутыва для гэтага інтэрфейса, каб ён ужываўся зноў пасля падзеі звязання, а не толькі пры загрузцы. Скрипт аднаразовага запуску пакідае адаптар без адраса пры першым паўторным падключэнні тунеля за дзень. Гэтая няўдача выглядае як мёртвы тунель, хоць уліковы запіс у парадку.

Адаптар без адраса — самая ціхая няўдача ў спісе, бо ўліковы запіс па-ранейшаму паведамляе пра злучэнне.

Пераканайцеся, што маршрут вядзе туды, куды вы думаеце

Трафік можа не працаваць нават пры здаровым звязанні і сапраўдным адрасе. Спытайце ядро, які інтэрфейс яно выкарыстае для пункту прызначэння ўнутры падсеткі хаба, потым параўнайце гэты адказ з тунелем.

ip route get 10.10.20.15

Перамагае лакальная падсетка, якая перасякаецца з дыяпазонам хаба, бо яе маршрут больш канкрэтны і ўжо ўсталяваны.

Гэта рашэнне пра нумарацыю, а не памылка кліента, і перазапуск службы яго не зменіць. Канфігурацыя рэзалвера — другая палова: адрас без працоўнага DNS-сервера дае тунель, які праходзіць усе праверкі звязання і ўсё адно не можа адкрыць імя.

Запішыце чатыры праверкі ў нататкі пра перабудову

Запішыце імя ўліковага запісу, каманду запуску службы і імя інтэрфейса разам, бо перабудаваны хост аднаўляе даныя ўліковага запісу, але не хук аперацыйнай сістэмы, які запускае дэман. Яны жывуць у розных месцах і звычайна рэзервуюцца рознымі людзьмі.

Сцяг — гэта адзін радок, які трэба паўтарыць, і яго лёгка забыць.

Трымайце парадак: сцяг, служба, адрас, маршрут. Кантрольны спіс, які пачынаецца з сярэдзіны, дае шмат упэўненых няправільных адказаў.