Klient Kerio VPN na Linuxu: pět kontrol podle pořadí

Po instalaci klienta Kerio VPN na Linuxu se neobjeví žádná ikona na ploše a privátní síť zůstává mimo dosah. To je obvyklý tvar tohoto klienta, nikoli rozbitá instalace: pokyny GFI pro Linux popisují konfiguraci z příkazového řádku a servisní skript, zcela bez grafického rozhraní. Projděte kontroly níže v daném pořadí, protože každá odstraňuje jinou vrstvu. První selhání vám řekne, kde se zastavit, a přeskočení dopředu obvykle znamená přestavbu balíčku, který nikdy nebyl problémem.

Ověřte, že sestavení odpovídá stroji

Začněte tím, co si dpkg myslí o stroji, a pro co byl balíček sestaven. Na běžném 64bitovém systému dpkg --print-architecture vypíše amd64, a stránka dodavatele uvádí balíček amd64 vedle běžného Debianu. Přečtěte si řetězec vydání v názvu souboru, který jste skutečně nainstalovali, místo abyste předpokládali, že se oba shodují.

Archiv z roku 2013 sestavený pro i386 se nestane 64bitovým jen proto, že jste předali --force-architecture při instalaci. Vynucení nainstaluje cizí binárky, skryje selhání závislosti za spouštěčem, který přesto startuje, a může nechat daemona načíst špatné knihovny. Pokud vaše vydání nabízí jen 32bitovou verzi, spusťte ho v 32bitovém prostředí nebo požádejte vlastníka brány o aktuální sestavení.

Zkontrolujte také řádek závislostí. dpkg -s kerio-control-vpnclient | grep -i depends ukazuje, co balíček očekává, a nesplněná verze nebo chybějící běhová knihovna se objeví zde, nikoli v protokolu klienta.

Nakonfigurujte ho pomocí průvodce balíčku

Klient podle návrhu nemá žádnou položku v nabídce aplikací, takže chybějící ikona nic neříká o tom, zda konfigurace proběhla úspěšně. Znovu otevřete průvodce pomocí sudo dpkg-reconfigure kerio-control-vpnclient a odpovězte na jeho dotazy: koncový bod VPN, údaje o účtu a otisk certifikátu serveru.

Berte dotaz na otisk jako jediné místo, kde může špatný server vyhrát. Porovnejte hodnotu s informacemi o serveru od správce, který spravuje bránu, ne s tím, co předkládá koncový bod. Přijetí otisku, který nemůžete ověřit, promění zbytek tohoto seznamu v dekoraci, protože nepřátelský server vypadá po uložení pinu stejně jako ten skutečný. Pokud hodnotu nelze potvrdit jiným kanálem, zastavte se a zeptejte se, i když by tunel jinak vznikl.

Opětovné spuštění průvodce mění konfiguraci a může restartovat klienta, proto si držte druhou cestu ke stroji, když relace, přes kterou pracujete, závisí na té VPN. Zadejte heslo na běžné výzvě místo vkládání do příkazu, který skončí v historii shellu.

Znejte soubor, který průvodce zapisuje

Konfigurace žije v /etc/kerio-kvc.conf a nese účet i připnutý otisk. Berte ho jako tajný materiál. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf by ho neměl ukazovat jako čitelný pro všechny.

Po povolené ruční úpravě znovu načtěte daemona, který soubor vlastní, místo restartu síťového zásobníku: sudo /etc/init.d/kerio-kvc reload. Znovunačtení znovu přečte konfiguraci a shodí aktuální relaci, takže to na živém spojení není nicnedělání.

Před jakoukoli změnou zkopírujte předchozí soubor. Pokud ověření po úpravě selže, obnovení poslední funkční kopie trvá sekundy a izoluje úpravu od sítě, což je nejlevnější způsob, jak zjistit, která ze dvou se pohnula.

Oddělte živou relaci od chování při startu

Servisní skript ovládá aktuální spojení: sudo /etc/init.d/kerio-kvc stop ukončí tunel hned a start ho vrátí. Ani jeden příkaz nerozhoduje o tom, co se stane při příštím startu, a ten rozdíl je důležitý na stroji, který spravujete vzdáleně.

Než odeberete odkazy nebo něco zamaskujete, zjistěte, kdo vlastní start. Balíček může nainstalovat vlastní init skript, vygenerovat unit nebo obojí, a vypnutí špatného jména nechá klienta po restartu znovu přítomného. Zkontrolujte systemctl status kerio-kvc proti jménu, které používá dokumentace balíčku, a pak vypněte cestu, kterou proces startu skutečně čte.

Nenahrazujte unit OpenVPN jen proto, že konfigurace vypadá podobně. Tento klient mluví svým vlastním protokolem s bránou Kerio, takže jiný daemon namířený na stejný soubor se neautentizuje, a další selhání dělá důkazy hůř čitelnými. Klient GFI pro Linux také drží jen jedno VPN spojení najednou; ten limit platí pro klienta, ne pro uživatelskou kapacitu brány.

Přečtěte protokoly a pak ověřte zdroj

Tři soubory v /var/log/kerio-kvc vyprávějí příběh daemona: init.log pro události životního cyklu, error.log pro kritická selhání a debug.log pro podrobnosti. Přečtěte nejmenší výňatek, který odpovídá na vaši otázku, a před vložením kamkoli odstraňte koncové body a uživatelská jména. Mezera v init.log kolem doby, kdy jste spustili průvodce, vám říká, že se daemon nikdy nerestartoval.

Platný balíček, běžící daemon a dostupný zdroj jsou tři samostatné výsledky a seznam je hotový jen tehdy, když platí všechny tři. Po schválené změně požádejte o host, který existuje jen za branou, a pak na něm otevřete běžnou službu. Pokud tunel stojí a zdroj ne, zbývající závada je v trase brány nebo pravidle firewallu, ne v klientovi, který jste právě překonfigurovali.

Zapište stav, ve kterém jste skončili: vydání balíčku, architekturu, zda byl otisk ověřen jiným kanálem a které znovunačtení nebo restart jste provedli. Právě ta poznámka dělá první kontrolu dalšího člověka levnou.