AWS Client VPN не стартира на Linux? Съобразете средата за изпълнение

Инсталирахте пакета AWS Client VPN на Ubuntu, стартирахте го и получихте грешка на зареждащия модул за липсваща споделена библиотека, преди да е прочетен какъвто и да е профил. Първият импулс е да вземете тази библиотека от по-стар изпуск и да продължите. Това обикновено заменя една счупена зависимост със система, която вече не съответства на собствената си база с пакети. Отказът при стартиране е въпрос на граница на поддръжка, а не на мрежа.

Грешката назовава библиотека, не мрежата

Клиентът на VPN за работен плот трябва да зареди средата си за изпълнение, преди да може да погледне профила или крайната точка. Когато динамичният зареждащ модул не може да разреши символ, процесът умира в първата секунда и прозорецът така и не се появява. Никакво редактиране на профила, работа по DNS или промени в маршрутите не достигат до този етап. Четете съобщението буквално, защото то ви казва точно кой обект е искал зареждащият модул.

Така разделяте и две семейства от откази. Липсващ споделен обект е проблем с пакетирането на вашия хост, докато отказ на удостоверяване е решение от страна на услугата, което идва много по-късно в последователността.

И двете завършват с прозорец, който се затваря, и затова се смесват в докладите за грешки.

Превключвателите за глобализация са друг проблем

Грешките, които споменават ICU или глобализация, идват от средата .NET под някои сборки на клиента, а не от стека TLS. Задаването на превключвателя за инвариантна глобализация променя как тази среда обработва данни за култура и не доставя липсваща libssl. Прилагането му, за да заглушите грешка на TLS, ви оставя клиент, който стартира и след това се проваля на друго място.

Дръжте двете в отделни кутии: едното променя поведението на средата, другото удовлетворява свързващия редактор. Посегането към първото, когато имате второто, е навик, който си струва да оставите.

Ако хостът наистина не може да осигури нужната среда, поддържаният отговор е друг хост, а не променен.

Защо внасянето на стар OpenSSL се връща срещу вас

Копирането на libssl и libcrypto от по-стара дистрибуция в /usr/lib работи достатъчно често, за да е изкушаващо. То също изважда библиотека извън контрола на мениджъра на пакети, така че всяка следваща актуализация за сигурност или я пропуска, или се сблъсква с нея. На хост, на който вървят и браузър, или SSH клиент, вие сте сменили криптографския стек за програми, които никога не са го искали.

Поддържаният път е документираният източник на пакети и разрешаването на зависимостите му за точно вашия изпуск на ОС и архитектура. Проверете изискванията за клиента на AWS за Linux и бележките към изпуска за версията, която инсталирате, защото матрицата на поддръжка се мести между изпуските.

Старото решение от форум е снимка на една двойка изпуски, а не гаранция за съвместимост.

Пазете дефиницията на услугата от доставчика

Някои ръководства ви дават минимална systemd единица, за да замени пакетираната. Тази единица обикновено изхвърля аргументи, настройки за засилване и интеграция, които доставчикът е добавил по-късно, и полученият отказ се появява някъде, където няма да го свържете с редакцията.

Ако ви трябва промяна, използвайте вместо това drop-in: малък файл за замяна в .d директорията на единицата, който добавя или заменя една директива, с коментар защо съществува и как да се отмени. Файлът на доставчика остава непокътнат и следващата актуализация на пакета нито отменя работата ви безшумно, нито я дублира.

Запишете пътя на замяната в бележките си, защото следващият администратор ще погледне там първо.

Докажете стартирането, преди да отстранявате маршрути

Накарайте клиента да стартира надеждно с одобрения профил, след това влезте, след това потвърдете тунела и само след това гледайте маршрутите, DNS и частните ресурси. Всеки етап дава свои доказателства и смесването им прави проблем със средата да изглежда като проблем с маршрутизацията. Ако ви трябва поддръжка от доставчика, уловете първото полезно събитие при стартиране, вместо екранна снимка на затварящия се прозорец.

Никога не прикачвайте частен ключ или цял профил с вградени идентификационни данни като диагностичен материал.

Един въпрос решава повечето от тези заявки: инсталираната версия на клиента още ли се поддържа на този изпуск на ОС? Ако не, поправката е поддържана двойка, а не нов лов на библиотеки.