Atureu la connexió OpenVPN correcta: primer pla, systemd o NM

Tancar una finestra de terminal no és el mateix que tancar un túnel, i matar un procés no és el mateix que aturar un servei. A Linux, l'ordre que realment desconnecta depèn de quin component ha iniciat la connexió i, per tant, en posseeix el cicle de vida. La comparació següent cobreix les quatre disposicions que més probablement trobareu, i l'identificador que necessita cadascuna.

Clients en primer pla i dimonis

Un client iniciat a mà en un terminal pertany a aquell terminal. Ctrl+C lliura una interrupció, el client desmunta la seva interfície i el túnel s'acaba. No cal avisar res més.

Un client iniciat mitjançant un embolcall d'intèrpret i deixat en segon pla no pertany a ningú en particular, i és el cas en què la gent recorre a killall. Cerqueu primer el procés, confirmeu que la seva línia d'ordres esmenta el perfil que voleu, i després envieu el senyal de terminació normal. Un procés supervisat mort sota el seu supervisor simplement es reiniciarà, per això identificar el propietari és més important que triar un senyal. Envieu el senyal al grup de processos només quan hàgiu confirmat que cap altre túnel el comparteix.

SIGUSR1 no és una desconnexió; demana al client que reiniciï el túnel.

Instàncies de systemd

Quan una unitat posseeix la connexió, la unitat és l'objecte a aturar. Les instàncies de plantilla com openvpn-client@office porten el nom del perfil, i aturar l'objectiu de plantilla en lloc de la instància pot afectar tots els clients de l'amfitrió.

systemctl list-units 'openvpn-client@*'
systemctl stop [email protected]

Llegiu l'ExecStart de la unitat quan no estigueu segurs de quin perfil ha carregat la instància.

Una unitat habilitada tornarà a la propera arrencada, cosa que és una decisió separada d'aturar-la ara. Deshabiliteu-la només després de decidir que la connexió no ha de tornar, i anoteu aquesta decisió on la trobi el proper administrador.

Perfils de NetworkManager

Un perfil gestionat per NetworkManager no és un procés al qual pugueu enviar un senyal. El gestor posseeix el cicle de vida, i l'objecte sobre el qual cal actuar és la connexió activa, identificada per UUID i no pel nom de visualització. Llegir primer la llista activa també mostra si s'executa un segon túnel amb un nom que no esperàveu.

nmcli connection show --active
nmcli connection down uuid actual-uuid

Els noms de visualització es repeteixen, i el nom d'un fitxer de perfil no és el seu identificador, així que copieu l'UUID del llistat. Si la connexió torna de seguida, alguna cosa l'activa: una entrada secondaries en una connexió base, un script dispatcher o un indicador de connexió automàtica. Aturar la connexió del gestor és el primer pas correcte, i la reactivació és la qüestió següent. No suprimiu el perfil per aturar la reactivació, perquè això també elimina les credencials que potser necessitareu demà.

La referència d'ordres del gestor documenta com es tria un objectiu down.

Sessions d'OpenVPN 3

OpenVPN 3 Linux fa servir un model de sessions en lloc d'un procés per túnel. Inspeccioneu les sessions que el servei coneix i després actueu sobre un camí de sessió. El camí és l'identificador, i no és intercanviable amb un nom de configuració.

openvpn3 sessions-list
openvpn3 session-manage --path /net/openvpn/v3/sessions/... --disconnect

Desconnectar totes les sessions és una acció diferent, i hauria de ser deliberada.

Un mateix amfitrió pot contenir sessions de diversos usuaris, així que llisteu abans d'actuar i confirmeu el propietari de la sessió que esteu a punt d'acabar.

Què cal verificar després

Comproveu tres coses després de qualsevol d'aquestes aturades: la llista de connexions actives ja no conté el túnel, la interfície ha desaparegut, i una consulta de ruta per a una adreça interna ja no selecciona un dispositiu de túnel. Després decidiu què passa a la propera arrencada.

ip -brief address
ip route get 10.8.0.1

Eliminar una interfície a mà no atura el propietari, i deixa la neteja a mitges.

Desconnectar ara, impedir la propera arrencada automàtica i permetre després el trànsit que no és de VPN són tres eleccions separades. Feu cada una explícita.