Kerio VPN-klient på Linux: fem kontroller i rækkefølge

Når du installerer Kerio VPN-klienten på Linux, vises der ikke noget skrivebordsikon, og det private netværk forbliver uden for rækkevidde. Det er denne klients normale form og ikke en ødelagt installation: GFIs Linux-vejledning beskriver kommandolinjekonfiguration og et tjenesteskript, helt uden GUI. Gå kontrollerne nedenfor igennem i rækkefølge, fordi hver af dem rydder en anden lag. Den første fejl fortæller dig, hvor du skal stoppe, og at springe fremover betyder som regel at genopbygge en pakke, der aldrig var problemet.

Bekræft at buildet passer til maskinen

Start med hvad dpkg mener maskinen er, og hvad pakken blev bygget til. På et normalt 64-bit-system dpkg --print-architecture udskriver amd64, og leverandørens side viser en amd64-pakke ved siden af den almindelige Debian-pakke. Læs release-strengen i det filnavn, du faktisk installerede, i stedet for at antage, at de to passer sammen.

Et arkiv fra 2013 bygget til i386 bliver ikke 64-bit, bare fordi du sendte --force-architecture med ved installationen. At tvinge det installerer fremmede binærfiler, skjuler en afhængighedsfejl bag en starter, der stadig starter, og kan få daemonen til at indlæse de forkerte biblioteker. Hvis din udgivelse kun findes som 32-bit, så kør den i et 32-bit-miljø, eller bed gatewayens ejer om et aktuelt build.

Kontroller også afhængighedslinjen. dpkg -s kerio-control-vpnclient | grep -i depends viser, hvad pakken forventer, og en uopfyldt versionsbinding eller et manglende runtime-bibliotek dukker op her i stedet for i klientens log.

Konfigurer den gennem pakkens guide

Klienten har efter design ingen post i programmenuen, så et manglende ikon siger intet om, hvorvidt konfigurationen lykkedes. Åbn guiden igen med sudo dpkg-reconfigure kerio-control-vpnclient og svar på dens spørgsmål: VPN-endpoint, kontodetaljer og servercertifikatets fingeraftryk.

Behandl spørgsmålet om fingeraftrykket som det ene sted, hvor en forkert server kan vinde. Sammenlign værdien med serveroplysningerne fra administratoren, der driver gatewayen, ikke med hvad endpointet præsenterer. At acceptere et fingeraftryk, du ikke kan verificere, gør resten af denne liste til dekoration, fordi en fjendtlig server ser identisk ud med den ægte, når først pinnen er gemt. Hvis værdien ikke kan bekræftes ad en anden kanal, stop og spørg, selv når tunnelen ellers ville komme op.

At køre guiden igen ændrer konfigurationen og kan genstarte klienten, så hold en anden vej til maskinen, når den session, du arbejder over, afhænger af den VPN. Skriv adgangskoden ved den normale prompt i stedet for at indlejre den i en kommando, der ender i shell-historikken.

Kend filen, som guiden skriver

Konfigurationen ligger i /etc/kerio-kvc.conf og bærer både kontoen og det fastgjorte fingeraftryk. Behandl den som hemmeligt materiale. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf bør ikke vise den som læsbar for alle.

Efter en autoriseret manuel ændring skal du genindlæse den daemon, der ejer filen, i stedet for at genstarte netværksstakken: sudo /etc/init.d/kerio-kvc reload. En genindlæsning læser konfigurationen igen og dropper den aktuelle session, så det er ikke uden virkning på en levende forbindelse.

Kopiér den forrige fil, før du ændrer noget. Hvis godkendelsen fejler efter en ændring, tager det sekunder at gendanne den sidste fungerende kopi og isolerer ændringen fra netværket, hvilket er den billigste måde at finde ud af, hvilken af de to der flyttede sig.

Adskil den levende session fra opstartsadfærden

Tjenesteskriptet styrer den aktuelle forbindelse: sudo /etc/init.d/kerio-kvc stop afslutter tunnelen nu, og start bringer den tilbage. Ingen af kommandoerne afgør, hvad der sker ved næste opstart, og den forskel betyder noget på en maskine, du administrerer eksternt.

Undersøg, hvem der ejer opstarten, før du fjerner links eller maskerer noget. Pakken kan installere sit eget init-skript, generere en unit eller begge dele, og deaktivering af det forkerte navn får klienten tilbage efter en genstart. Kontroller systemctl status kerio-kvc mod det navn, pakkedokumentationen bruger, og deaktiver derefter den sti, opstartsprocessen faktisk læser.

Erstat ikke en OpenVPN-unit, fordi konfigurationen ligner. Denne klient taler sin egen protokol med Kerio-gatewayen, så en anden daemon rettet mod samme fil vil ikke godkende sig, og den ekstra fejl gør beviserne sværere at læse. GFIs Linux-klient holder også kun én VPN-forbindelse ad gangen; den grænse gælder for klienten, ikke for gatewayens brugerkapacitet.

Læs logfilerne, og verificér så ressourcen

Tre filer under /var/log/kerio-kvc fortæller daemonens historie: init.log for livscyklushændelser, error.log for kritiske fejl og debug.log for detaljer. Læs det mindste uddrag, der besvarer dit spørgsmål, og fjern endpoints og brugernavne, før du indsætter det nogen steder. Et hul i init.log omkring det tidspunkt, hvor du kørte guiden, fortæller dig, at daemonen aldrig blev genstartet.

En gyldig pakke, en kørende daemon og en tilgængelig ressource er tre separate resultater, og listen er først færdig, når alle tre holder. Efter en godkendt ændring skal du anmode om en vært, der kun findes bag gatewayen, og derefter åbne en normal tjeneste på den. Hvis tunnelen er oppe og ressourcen ikke, sidder den resterende fejl i en gateway-rute eller firewall-regel og ikke i den klient, du netop har omkonfigureret.

Notér den tilstand, du endte i: pakkeudgivelse, arkitektur, om fingeraftrykket blev verificeret ad en anden kanal, og hvilken genindlæsning eller genstart du kørte. Den note er det, der gør næste persons første kontrol billig.