Das VPN-Bridge-Skript ruft weiterhin brctl auf: Was das bedeutet

Der Tunnelclient ist installiert, das Profil ist gültig, und der Helfer scheitert weiterhin an einem Befehl namens brctl. Eine Neuinstallation des VPN-Pakets behebt das nicht, denn das fehlende Programm gehört nicht zum Tunnel. Es gehört zu einem lokalen Bridge-Skript, und das Skript verlangt ein Werkzeug, das das aktuelle System nicht mehr standardmäßig mitliefert. Die beiden Probleme wirken nur deshalb zusammenhängend, weil das Skript beim Verbindungsaufbau läuft.

Ein fehlendes Hilfsprogramm ist kein Tunneldefekt

Beginnen Sie mit dem genauen Aufruf und seiner Umgebung. Ein Befehl, der in Ihrer interaktiven Shell existiert, kann im eingeschränkten Suchpfad eines Dienstes fehlen, daher kann ein Nicht-gefunden-Fehler zwei verschiedene Dinge bedeuten. Führen Sie command -v brctl als Dienstbenutzer aus, und lesen Sie die Unit, die das Skript startet mit systemctl cat openvpn-bridge-helper oder dessen Entsprechung. Der Fehlertext nennt meist die fehlende Binärdatei, und dieser Name ist die zu lösende Abhängigkeit.

Eine Neuinstallation des Tunnelclients liefert den Tunnel, nicht das Bridge-Werkzeug. Das sind getrennte Pakete mit getrennten Betreuern.

Was brctl tat und warum es veraltet ist

Das Werkzeug erstellte und verwaltete Linux-Ethernet-Bridges: addbr erstellte eine Bridge, und addif hängte einen Port an. Das Debian-Handbuch kennzeichnet es als veraltet und verweist auf die Bridge-Werkzeuge von iproute2, die mehr abdecken. Veraltet heißt nicht überall entfernt, und ein vorhandenes neueres Werkzeug macht einen wörtlichen brctl-Aufruf im Skript nicht erfolgreich.

Die Frage ist also nicht, ob brctl gut ist. Sie ist, ob das Skript noch gepflegt wird und welches Paket, falls überhaupt, Ihre Distribution dafür mitliefert.

Zwei ehrliche Optionen: pflegen oder migrieren

Pflegen heißt, die dokumentierte Abhängigkeit aus dem unterstützten Paket Ihrer Distribution zu installieren und Herkunft, erwartete Version und Ausführungspfad des Skripts zu bestätigen. Das befriedigt eine fehlende ausführbare Datei und sonst nichts: Bridge-Namen, Adressplan und Aufräumverhalten des Skripts bleiben ungeprüft. Migrieren heißt, die beabsichtigten Operationen für die unterstützte Netzkonfiguration neu zu schreiben. Bridge-Erstellung, Port-Anbindung, Host-Adressierung und Link-Aktivierung sind vier getrennte Änderungen, und ein Shell-Alias von brctl auf ein anderes Werkzeug ist keine Übersetzung.

Die iproute2-Entsprechungen sind kurz: ip link add name br-vpn type bridge erstellt die Bridge, und ip link set tap0 master br-vpn hängt einen Port an.

Notieren Sie, welche Option Sie gewählt haben und wem das Skript gehört. Ein halb migrierter Helfer, der beide Werkzeuge aufruft, ist schlechter als jede der beiden Varianten.

Sehen Sie sich das Bridge-Design vor beidem an

Eine Ethernet-Bridge passt zu einem Design, das Ethernet-Transport und TAP-Peers braucht. Das Installieren von Bridge-Werkzeugen macht aus einer gerouteten TUN-Verbindung keine Bridge, und ein unterstütztes geroutetes Profil sollte nicht verbogen werden, um zu einem unabhängigen Skript zu passen. Wenn das Profil routet, finden Sie heraus, warum ein Bridge-Helfer überhaupt läuft.

Bevor Sie eine echte Bridge anfassen, bewahren Sie den Verwaltungspfad und benennen Sie den einzigen Eigentümer der Netzkonfiguration.

Lesen Sie danach den nächsten Fehler, nachdem die Abhängigkeit behoben ist. Lokale Bridge-Einrichtung, entfernte Authentifizierung und erlaubter Verkehr durch das Ergebnis sind drei getrennte Ergebnisse, und nur eines davon hatte je mit brctl zu tun.