AWS Client VPN se na Linuxu nespustí? Slaďte běhové prostředí

Nainstalovali jste balíček AWS Client VPN na Ubuntu, spustili ho a dostali chybu zavaděče o chybějící sdílené knihovně dřív, než se přečetl jakýkoli profil. První instinkt je vzít tu knihovnu ze staršího vydání a pokračovat. To obvykle vymění jednu rozbitou závislost za systém, který už neodpovídá vlastní databázi balíčků. Selhání spuštění je otázka hranice podpory, ne sítě.

Chyba jmenuje knihovnu, ne síť

Desktopový klient VPN musí načíst své běhové prostředí, než se vůbec může podívat na váš profil nebo koncový bod. Když dynamický zavaděč nedokáže vyřešit symbol, proces umře v první sekundě a okno se nikdy neobjeví. Žádné úpravy profilu, práce s DNS ani změny tras se do té fáze nedostanou. Čtěte zprávu doslova, protože vám přesně říká, který objekt zavaděč chtěl.

Tím také oddělujete dvě rodiny poruch. Chybějící sdílený objekt je problém balení na vašem hostiteli, zatímco odmítnutí autentizace je rozhodnutí na straně služby, které přichází mnohem později v posloupnosti.

Obě končí oknem, které se zavře, a proto se v hlášeních chyb pletou.

Přepínače globalizace jsou jiný problém

Chyby, které zmiňují ICU nebo globalizaci, pocházejí z běhového prostředí .NET pod některými sestaveními klienta, ne z TLS zásobníku. Nastavení přepínače invariantní globalizace mění, jak toto prostředí zpracovává data o kultuře, a nedodává chybějící libssl. Použití k utišení chyby TLS vám nechá klienta, který se spustí a pak selže jinde.

Držte obojí v oddělených krabicích: jedno mění chování prostředí, druhé uspokojuje linker. Sáhnout po prvním, když máte druhé, je návyk, který stojí za to opustit.

Pokud hostitel opravdu nemůže poskytnout požadované běhové prostředí, podporovanou odpovědí je jiný hostitel, ne upravený.

Proč import starého OpenSSL vrací úder

Kopírování libssl a libcrypto ze starší distribuce do /usr/lib funguje dost často na to, aby to bylo lákavé. Také staví knihovnu mimo kontrolu správce balíčků, takže každá další bezpečnostní aktualizace ji buď mine, nebo se s ní střetne. Na hostiteli, kde běží i prohlížeč nebo SSH klient, jste změnili kryptografický zásobník programům, které o to nikdy nežádaly.

Podporovanou cestou je dokumentovaný zdroj balíčků a řešení jeho závislostí pro přesně vaše vydání OS a architekturu. Zkontrolujte požadavky na klienta AWS pro Linux a poznámky k vydání verze, kterou instalujete, protože matice podpory se mezi vydáními posouvá.

Staré řešení z fóra je snímek jedné dvojice vydání, ne záruka kompatibility.

Zachovejte definici služby od dodavatele

Některé návody vám dají minimální jednotku systemd, aby nahradila zabalenou. Ta jednotka obvykle zahodí argumenty, nastavení zpevnění a integraci, které dodavatel přidal později, a výsledná porucha se objeví někde, kde ji s úpravou nespojíte.

Pokud potřebujete změnu, použijte místo toho drop-in: malý soubor přepisu v adresáři .d jednotky, který přidá nebo nahradí jednu direktivu, s komentářem, proč existuje a jak ho vrátit. Soubor dodavatele zůstane nedotčen a další aktualizace balíčku vaši práci ani tiše nezruší, ani nezduplikuje.

Zapište cestu přepisu do svých poznámek, protože příští správce se tam podívá první.

Dokažte spuštění, než budete ladit trasy

Přimějte klienta, aby se spolehlivě spustil se schváleným profilem, pak se přihlaste, pak potvrďte tunel a teprve potom se dívejte na trasy, DNS a privátní zdroje. Každá fáze vytváří svůj vlastní důkaz a jejich míchání dělá z problému prostředí problém směrování. Pokud potřebujete podporu dodavatele, zachyťte první užitečnou událost spuštění místo snímku zavírajícího se okna.

Nikdy nepřikládejte soukromý klíč ani celý profil s vloženými přihlašovacími údaji jako diagnostický materiál.

Jedna otázka vyřeší většinu těchto tiketů: je nainstalovaná verze klienta na tomto vydání OS stále podporovaná? Pokud není, opravou je podporovaná dvojice, ne další hon na knihovny.