OpenVPN, der starter før netværket er oppe, er ikke en fejl

Du starter klienten ved opstart, unit'en rapporterer aktiv, og tunnelen er der ikke. Den naturlige konklusion er, at tjenesten ikke kunne starte, og den naturlige løsning er at starte den igen. Begge dele er ofte nok forkert til at fortjene en regel: en kørende klient, der prøver igen, ser udefra ud som en, der er i stykker. Forskellen ligger i, hvad processen laver, ikke i unit'ens tilstand.

Myte: en startet tjeneste betyder en fungerende tunnel

En aktiv unit beviser, at processen blev startet og ikke er afsluttet. Den beviser ikke, at profilen blev indlæst, certifikatet accepteret, eller at den anden ende svarede. En pakket klient kan sidde i en gentagelsesløkke i minutter, mens systemd ikke rapporterer andet end succes. Det gab mellem tilstand og adfærd er hele emnet.

Det modsatte tilfælde er lige så almindeligt. Processen kan være afsluttet efter at have fejlet med at læse en nøgle, og unit'en rapporterer så en fejlet tilstand, der intet siger om hvorfor. Begge tilstande kræver loggen for at skelnes.

Læs journalen for instansen i stedet for unit'ens tilstand. Årsagslinjen er i loggen, ikke i statusmærkatet.

Myte: gentagelsesindstillinger dækker enhver fejl

Navneopløsning og transportgentagelser er separate kontroller med separate standardværdier. resolv-retry styrer gentagne opslag af et fjernværtsnavn, og den dokumenterede standard bliver ved med at prøve i det uendelige. connect-retry sætter intervallet mellem forsøg, mens connect-retry-max kan begrænse, hvor mange gange hver fjernpost prøves. Kontroller, hvilken fase loggen nævner, før du ændrer nogen af dem.

Intet af det gælder for en beskadiget profil, en ulæselig privat nøgle eller en afvist konto. De kræver en rettelse, og en klient, der bliver ved med at prøve dem, gør ingen fremskridt.

At prøve et ikke-godkendt certifikat igen i det uendelige er ikke grund til at fjerne verifikationen. Det er grund til at læse fejlen.

Myte: én starter er nok, så tilføj en mere

En forbindelse, der allerede styres af NetworkManager eller en pakket unit, har ikke brug for endnu en starter koblet på. To processer, der konkurrerer om de samme ruter, giver dublerede grænseflader, forvirrede logge og en tunnel, der flapper af årsager, som ingen kan se. Den anden kopi kommer normalt som en omvej, fordi den første er langsom.

Beslut, hvilken komponent der ejer tunnelen før du tilføjer noget. Fjern derefter den anden starter i stedet for at deaktivere den og håbe.

Ejeren bestemmer også, hvor gentagelser og legitimationsoplysninger kommer fra, og derfor kommer denne beslutning før enhver justering. Ejerskab kommer først netop af den grund.

Hvad der faktisk kræver rækkefølge

Rækkefølgen kan vente på en konfigureret adresse, og det er alt, hvad den garanterer. network-online.target udskyder aktivering, indtil administratoren anser netværket for oppe, og definitionen af oppe afhænger af administratoren. Den siger intet om, hvorvidt VPN-værtsnavnet opløses, om lytteren svarer, eller om en captive portal har lukket enheden ind.

Læs den installerede unit og eventuelle drop-ins, før du tilføjer afhængigheder. Et bredt After= på hver netværkstjeneste udskyder opstarten uden at etablere den forbindelse, du faktisk har brug for.

Sæt den afhængighed i rækkefølge, du kan teste, og kontroller alt andet med en parathedsprobe. En probe, der åbner tunnelen, slår en timer, der gætter.

Hvad der sker, efter tunnelen først kommer op

Opstart er én begivenhed blandt mange. Adgangsforbindelsen skifter, en portalsession udløber, peer'en genstarter. Skeln mellem en intern genopkobling og en procesafslutning, som tjenesteadministratoren håndterer, fordi de to har forskellige ejere og efterlader forskellige spor.

Interaktiv godkendelse begrænser uovervåget gendannelse. En baggrundsunit låser ikke en skrivebordsnøglering op og svarer ikke på en MFA-anmodning, så følg den godkendte legitimationsordning for tjenestekonteksten.

Beslut separat, hvad programmer må gøre, mens tunnelen er nede. Gentagelse genopretter en forbindelse, mens en blokeringspolitik afgør, om direkte trafik er tilladt i mellemrummet.