Kerio VPN-Client unter Linux: fünf Prüfungen in Reihenfolge

Nach der Installation des Kerio VPN-Clients unter Linux erscheint kein Desktop-Symbol, und das private Netzwerk bleibt außer Reichweite. Das ist die normale Form dieses Clients und keine defekte Installation: Die Linux-Anleitung von GFI beschreibt Kommandozeilen-Konfiguration und ein Dienstskript, ganz ohne GUI. Arbeiten Sie die folgenden Prüfungen der Reihe nach ab, denn jede räumt eine andere Schicht ab. Der erste Fehlschlag sagt Ihnen, wo Sie aufhören sollten, und ein Vorgriff bedeutet meist, ein Paket neu zu bauen, das nie das Problem war.

Prüfen Sie, ob der Build zur Maschine passt

Beginnen Sie damit, was dpkg über die Maschine denkt und wofür das Paket gebaut wurde. Auf einem normalen 64-Bit-System dpkg --print-architecture liefert amd64, und die Herstellerseite listet ein amd64-Paket neben dem gewöhnlichen Debian-Paket. Lesen Sie die Release-Zeichenkette im Dateinamen, den Sie tatsächlich installiert haben, statt anzunehmen, dass beide übereinstimmen.

Ein Archiv von 2013, für i386 gebaut, wird nicht dadurch 64-Bit, dass Sie --force-architecture übergeben haben. Erzwungen installiert es fremde Binärdateien, versteckt einen Abhängigkeitsfehler hinter einem Starter, der trotzdem startet, und kann den Daemon die falschen Bibliotheken laden lassen. Wenn Ihre Version nur 32-Bit anbietet, führen Sie sie in einer 32-Bit-Umgebung aus oder bitten Sie den Gateway-Betreiber um einen aktuellen Build.

Prüfen Sie auch die Abhängigkeitszeile. dpkg -s kerio-control-vpnclient | grep -i depends zeigt, was das Paket erwartet, und eine unerfüllte Versionsbindung oder eine fehlende Laufzeitbibliothek zeigt sich hier statt im Client-Protokoll.

Konfigurieren Sie ihn über den Paket-Assistenten

Der Client hat konstruktionsbedingt keinen Eintrag im Anwendungsmenü, ein fehlendes Symbol sagt also nichts darüber aus, ob die Konfiguration gelungen ist. Öffnen Sie den Assistenten erneut mit sudo dpkg-reconfigure kerio-control-vpnclient und beantworten Sie seine Fragen: VPN-Endpunkt, Kontodaten und der Zertifikatsfingerabdruck des Servers.

Behandeln Sie die Fingerabdruck-Abfrage als die eine Stelle, an der ein falscher Server gewinnen kann. Vergleichen Sie den Wert mit den Serverinformationen des Administrators, der das Gateway betreibt, nicht mit dem, was der Endpunkt vorzeigt. Ein Fingerabdruck anzunehmen, den Sie nicht prüfen können, macht den Rest dieser Liste zur Dekoration, denn ein feindlicher Server sieht identisch aus wie der echte, sobald der Pin gespeichert ist. Lässt sich der Wert nicht über einen anderen Kanal bestätigen, halten Sie an und fragen Sie, selbst wenn der Tunnel sonst hochkäme.

Ein erneuter Lauf des Assistenten ändert die Konfiguration und kann den Client neu starten, halten Sie also einen zweiten Weg auf die Maschine bereit, wenn die Sitzung, über die Sie arbeiten, von diesem VPN abhängt. Tippen Sie das Passwort an der normalen Eingabeaufforderung ein, statt es in einen Befehl einzubetten, der in der Shell-Historie landet.

Kennen Sie die Datei, die der Assistent schreibt

Die Konfiguration liegt in /etc/kerio-kvc.conf und trägt sowohl das Konto als auch den festgelegten Fingerabdruck. Behandeln Sie sie als geheimes Material. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf sollte sie nicht als für alle lesbar anzeigen.

Nach einer autorisierten manuellen Änderung laden Sie den Daemon neu, dem die Datei gehört, statt den Netzwerk-Stack neu zu starten: sudo /etc/init.d/kerio-kvc reload. Ein Neuladen liest die Konfiguration erneut und verwirft die laufende Sitzung, ist also bei einer aktiven Verbindung kein Nichts-Tun.

Kopieren Sie die vorherige Datei, bevor Sie etwas ändern. Scheitert die Authentifizierung nach einer Änderung, dauert das Zurückspielen der letzten funktionierenden Kopie Sekunden und trennt die Änderung vom Netzwerk, was der billigste Weg ist zu erfahren, welche der beiden sich bewegt hat.

Trennen Sie die laufende Sitzung vom Startverhalten

Das Dienstskript steuert die aktuelle Verbindung: sudo /etc/init.d/kerio-kvc stop beendet den Tunnel sofort und start bringt ihn zurück. Keines der beiden Befehle entscheidet, was beim nächsten Start passiert, und dieser Unterschied zählt auf einer Maschine, die Sie remote administrieren.

Prüfen Sie, wem der Autostart gehört, bevor Sie Links entfernen oder etwas maskieren. Das Paket kann ein eigenes Init-Skript installieren, eine Unit erzeugen oder beides, und das falsche Deaktivieren lässt den Client nach einem Neustart zurück. Prüfen Sie systemctl status kerio-kvc gegen den Namen, den die Paketdokumentation verwendet, und deaktivieren Sie dann den Pfad, den der Startvorgang tatsächlich liest.

Ersetzen Sie keine OpenVPN-Unit, nur weil die Konfiguration ähnlich aussieht. Dieser Client spricht sein eigenes Protokoll mit dem Kerio-Gateway, daher wird sich ein anderer Daemon auf dieselbe Datei nicht authentifizieren, und der zusätzliche Fehlschlag macht die Beweislage schwerer lesbar. Der Linux-Client von GFI hält außerdem nur eine VPN-Verbindung gleichzeitig; diese Grenze gilt für den Client, nicht für die Nutzerkapazität des Gateways.

Lesen Sie die Protokolle, dann prüfen Sie die Ressource

Drei Dateien unter /var/log/kerio-kvc erzählen die Geschichte des Daemons: init.log für Lebenszyklus-Ereignisse, error.log für kritische Fehler und debug.log für Details. Lesen Sie den kleinsten Auszug, der Ihre Frage beantwortet, und entfernen Sie Endpunkte und Benutzernamen, bevor Sie ihn irgendwo einfügen. Eine Lücke in init.log um den Zeitpunkt, an dem Sie den Assistenten ausgeführt haben, sagt Ihnen, dass der Daemon nie neu gestartet wurde.

Ein gültiges Paket, ein laufender Daemon und eine erreichbare Ressource sind drei getrennte Ergebnisse, und die Liste ist erst fertig, wenn alle drei zutreffen. Fordern Sie nach einer genehmigten Änderung einen Host an, der nur hinter dem Gateway existiert, und öffnen Sie dann einen normalen Dienst darauf. Steht der Tunnel und die Ressource nicht, sitzt der verbleibende Fehler in einer Gateway-Route oder Firewall-Regel und nicht in dem Client, den Sie gerade neu konfiguriert haben.

Notieren Sie den Zustand, in dem Sie geendet haben: Paket-Release, Architektur, ob der Fingerabdruck außerhalb des Kanals geprüft wurde und welches Neuladen oder welchen Neustart Sie ausgeführt haben. Diese Notiz macht die erste Prüfung der nächsten Person billig.