Que OpenVPN arrenqui abans que la xarxa estigui llesta no és un error

Inicieu el client a l'arrencada, la unitat informa que està activa i el túnel no hi és. La conclusió natural és que el servei no ha arrencat, i la solució natural és tornar-lo a iniciar. Totes dues coses són prou sovint errònies perquè valgui la pena una regla: un client en marxa que reintenta sembla exactament un de trencat des de fora. La diferència és en què fa el procés, no en l'estat de la unitat.

Mite: un servei iniciat vol dir un túnel que funciona

Una unitat activa demostra que el procés s'ha llançat i no ha sortit. No demostra que el perfil s'hagi carregat, que el certificat s'hagi acceptat ni que l'altre extrem hagi respost. Un client empaquetat pot quedar-se minuts en un bucle de reintents mentre systemd només informa d'èxit. Aquest buit entre estat i comportament és tot el tema.

El cas oposat és igual de freqüent. El procés pot haver sortit després de no poder llegir una clau, i llavors la unitat informa d'un estat fallit que no diu per què. Tots dos estats necessiten el registre per distingir-los.

Llegiu el registre de la instància en lloc de l'estat de la unitat. La línia del motiu és al registre, no a l'etiqueta d'estat.

Mite: la configuració de reintents cobreix tots els errors

La resolució de noms i els reintents de transport són controls separats amb valors per defecte separats. resolv-retry governa les cerques repetides d'un nom d'amfitrió remot, i el valor documentat continua provant indefinidament. connect-retry fixa l'interval entre intents, mentre que connect-retry-max pot limitar quantes vegades es prova cada entrada remota. Comproveu quina etapa nomena el registre abans de canviar-ne cap.

Res d'això no s'aplica a un perfil malmès, una clau privada il·legible o un compte rebutjat. Aquests necessiten una correcció, i un client que els reintenta no avança.

Reintentar per sempre un certificat no aprovat no és motiu per treure la verificació. És motiu per llegir l'error.

Mite: un llançador és suficient, així que n'afegiu un altre

Una connexió ja gestionada per NetworkManager o per una unitat empaquetada no necessita un segon llançador connectat. Dos processos que competeixen per les mateixes rutes produeixen interfícies duplicades, registres confusos i un túnel que oscil·la per motius que ningú no veu. La segona còpia sol arribar com a solució provisional perquè la primera és lenta.

Decidiu quin component posseeix el túnel abans d'afegir res. Després traieu l'altre llançador en lloc de desactivar-lo i esperar.

El propietari també determina d'on vénen els reintents i les credencials, i per això aquesta decisió va abans de qualsevol ajust. La propietat va primer exactament per aquest motiu.

Què necessita realment ordre

L'ordre pot esperar una adreça configurada, i això és tot el que garanteix. network-online.target endarrereix l'activació fins que el gestor considera que la xarxa està aixecada, i la definició d'aixecada depèn del gestor. No diu res sobre si el nom d'amfitrió VPN es resol, si l'oient respon o si un portal captiu ha admès el dispositiu.

Llegiu la unitat instal·lada i qualsevol drop-in abans d'afegir dependències. Un After= ampli a cada servei de xarxa endarrereix l'arrencada sense establir la connexió que realment necessiteu.

Ordeneu la dependència que podeu provar, i comproveu tota la resta amb una sonda de disponibilitat. Una sonda que obre el túnel supera un temporitzador que endevina.

Què passa després que el túnel pugi per primera vegada

L'arrencada és un esdeveniment entre molts. L'enllaç d'accés canvia, una sessió de portal caduca, el pare restarta. Distingiu una reconnexió interna d'una sortida de procés que gestiona el gestor de serveis, perquè les dues tenen propietaris diferents i deixen proves diferents.

L'autenticació interactiva limita la recuperació desatesa. Una unitat en segon pla no desbloqueja un clauer d'escriptori ni respon a un repte MFA, així que seguiu l'arranjament de credencials aprovat per al context del servei.

Decidiu per separat què poden fer les aplicacions mentre el túnel està caigut. El reintent restaura una connexió, mentre que una política de bloqueig decideix si es permet trànsit directe en aquest buit.