Πελάτης Kerio VPN σε Linux: πέντε έλεγχοι με σειρά

Μετά την εγκατάσταση του πελάτη Kerio VPN σε Linux δεν εμφανίζεται εικονίδιο στην επιφάνεια εργασίας και το ιδιωτικό δίκτυο παραμένει εκτός εμβέλειας. Αυτή είναι η κανονική μορφή αυτού του πελάτη και όχι σπασμένη εγκατάσταση: οι οδηγίες της GFI για Linux περιγράφουν ρύθμιση από τη γραμμή εντολών και ένα σενάριο υπηρεσίας, χωρίς καθόλου γραφικό περιβάλλον. Εκτελέστε τους ελέγχους παρακάτω με σειρά, γιατί ο καθένας καθαρίζει διαφορετικό επίπεδο. Η πρώτη αποτυχία σας λέει πού να σταματήσετε, και το προχώρημα μπροστά συνήθως σημαίνει ανακατασκευή πακέτου που ποτέ δεν ήταν το πρόβλημα.

Επιβεβαιώστε ότι η έκδοση ταιριάζει με το μηχάνημα

Ξεκινήστε με το τι dpkg θεωρεί ότι είναι το μηχάνημα και για τι χτίστηκε το πακέτο. Σε ένα κανονικό σύστημα 64-bit, το dpkg --print-architecture εκτυπώνει amd64, και η σελίδα του προμηθευτή αναφέρει πακέτο amd64 δίπλα στο συνηθισμένο Debian. Διαβάστε τη συμβολοσειρά έκδοσης στο όνομα αρχείου που εγκαταστήσατε πραγματικά αντί να υποθέτετε ότι τα δύο συμφωνούν.

Ένα αρχείο του 2013 χτισμένο για i386 δεν γίνεται 64-bit μόνο επειδή περάσατε --force-architecture κατά την εγκατάσταση. Η εξαναγκασμένη εγκατάσταση βάζει ξένα δυαδικά, κρύβει αποτυχία εξάρτησης πίσω από εκκινητή που ξεκινά ακόμη και μπορεί να αφήσει τον δαίμονα να φορτώσει λάθος βιβλιοθήκες. Αν η έκδοση που έχετε διατίθεται μόνο σε 32-bit, εκτελέστε την σε περιβάλλον 32-bit ή ζητήστε από τον ιδιοκτήτη της πύλης μια τρέχουσα κατασκευή.

Ελέγξτε και τη γραμμή εξαρτήσεων. dpkg -s kerio-control-vpnclient | grep -i depends δείχνει τι περιμένει το πακέτο, και ένας ανεκπλήρωτος περιορισμός έκδοσης ή μια βιβλιοθήκη χρόνου εκτέλεσης που λείπει εμφανίζονται εδώ, όχι στο αρχείο καταγραφής του πελάτη.

Ρυθμίστε τον μέσω του οδηγού του πακέτου

Ο πελάτης δεν έχει εκ σχεδιασμού καταχώριση στο μενού εφαρμογών, οπότε ένα εικονίδιο που λείπει δεν λέει τίποτα για το αν η ρύθμιση πέτυχε. Ανοίξτε ξανά τον οδηγό με sudo dpkg-reconfigure kerio-control-vpnclient και απαντήστε στις ερωτήσεις του: τελικό σημείο VPN, στοιχεία λογαριασμού και αποτύπωμα του πιστοποιητικού διακομιστή.

Αντιμετωπίστε την ερώτηση του αποτυπώματος ως το μόνο σημείο όπου ένας λάθος διακομιστής μπορεί να κερδίσει. Συγκρίνετε την τιμή με τις πληροφορίες διακομιστή από τον διαχειριστή που τρέχει την πύλη, όχι με ό,τι παρουσιάζει το τελικό σημείο. Το να αποδεχτείτε αποτύπωμα που δεν μπορείτε να επαληθεύσετε μετατρέπει το υπόλοιπο αυτής της λίστας σε διακόσμηση, γιατί ένας εχθρικός διακομιστής μοιάζει ίδιος με τον αληθινό μόλις αποθηκευτεί το αποτύπωμα. Αν η τιμή δεν μπορεί να επιβεβαιωθεί από άλλο κανάλι, σταματήστε και ρωτήστε, ακόμη και όταν η σήραγγα θα ανέβαινε αλλιώς.

Η επανεκτέλεση του οδηγού αλλάζει τη ρύθμιση και μπορεί να επανεκκινήσει τον πελάτη, οπότε κρατήστε δεύτερη διαδρομή προς το μηχάνημα όταν η συνεδρία μέσω της οποίας εργάζεστε εξαρτάται από αυτό το VPN. Πληκτρολογήστε τον κωδικό στο κανονικό μήνυμα αντί να τον ενσωματώσετε σε εντολή που καταλήγει στο ιστορικό του κελύφους.

Γνωρίστε το αρχείο που γράφει ο οδηγός

Η ρύθμιση ζει στο /etc/kerio-kvc.conf και μεταφέρει και τον λογαριασμό και το καρφιτσωμένο αποτύπωμα. Αντιμετωπίστε το ως απόρρητο υλικό. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf δεν θα έπρεπε να το δείχνει αναγνώσιμο από όλους.

Μετά από εξουσιοδοτημένη χειροκίνητη αλλαγή, επαναφορτώστε τον δαίμονα που κατέχει το αρχείο αντί να επανεκκινήσετε τη στοίβα δικτύου: sudo /etc/init.d/kerio-kvc reload. Η επαναφόρτωση ξαναδιαβάζει τη ρύθμιση και ρίχνει την τρέχουσα συνεδρία, οπότε δεν είναι αδράνεια σε ζωντανή σύνδεση.

Αντιγράψτε το προηγούμενο αρχείο πριν αλλάξετε οτιδήποτε. Αν η ταυτοποίηση αποτύχει μετά από αλλαγή, η επαναφορά του τελευταίου γνωστού καλού αντιγράφου παίρνει δευτερόλεπτα και απομονώνει την αλλαγή από το δίκτυο, που είναι ο φθηνότερος τρόπος να μάθετε ποιο από τα δύο μετακινήθηκε.

Χωρίστε τη ζωντανή συνεδρία από τη συμπεριφορά εκκίνησης

Το σενάριο υπηρεσίας ελέγχει την τρέχουσα σύνδεση: sudo /etc/init.d/kerio-kvc stop τερματίζει τη σήραγγα τώρα και start την επαναφέρει. Καμία από τις δύο εντολές δεν αποφασίζει τι θα γίνει στην επόμενη εκκίνηση, και αυτή η διαφορά μετράει σε μηχάνημα που διαχειρίζεστε απομακρυσμένα.

Ελέγξτε ποιος κατέχει την εκκίνηση πριν αφαιρέσετε συνδέσμους ή κρύψετε κάτι. Το πακέτο μπορεί να εγκαταστήσει δικό του σενάριο init, να παράξει unit ή και τα δύο, και η απενεργοποίηση λάθους ονόματος αφήνει τον πελάτη πίσω μετά από επανεκκίνηση. Ελέγξτε το systemctl status kerio-kvc ως προς το όνομα που χρησιμοποιεί η τεκμηρίωση του πακέτου και μετά απενεργοποιήστε τη διαδρομή που διαβάζει πραγματικά η διαδικασία εκκίνησης.

Μην αντικαταστήσετε unit του OpenVPN επειδή η ρύθμιση μοιάζει. Αυτός ο πελάτης μιλά με το δικό του πρωτόκολλο στην πύλη Kerio, οπότε άλλος δαίμονας στραμμένος στο ίδιο αρχείο δεν θα ταυτοποιηθεί, και η επιπλέον αποτυχία κάνει τα στοιχεία δυσκολότερα στην ανάγνωση. Ο πελάτης της GFI για Linux κρατά επίσης μία μόνο σύνδεση VPN κάθε φορά· αυτό το όριο αφορά τον πελάτη, όχι τη χωρητικότητα χρηστών της πύλης.

Διαβάστε τα αρχεία καταγραφής και μετά επαληθεύστε τον πόρο

Τρία αρχεία στο /var/log/kerio-kvc διηγούνται την ιστορία του δαίμονα: init.log για συμβάντα κύκλου ζωής, error.log για κρίσιμες αποτυχίες και debug.log για λεπτομέρειες. Διαβάστε το μικρότερο απόσπασμα που απαντά στην ερώτησή σας και αφαιρέστε τελικά σημεία και ονόματα χρηστών πριν το επικολλήσετε οπουδήποτε. Ένα κενό στο init.log γύρω από τη στιγμή που εκτελέσατε τον οδηγό σας λέει ότι ο δαίμονας δεν επανεκκινήθηκε ποτέ.

Ένα έγκυρο πακέτο, ένας δαίμονας σε λειτουργία και ένας προσβάσιμος πόρος είναι τρία ξεχωριστά αποτελέσματα, και η λίστα ολοκληρώνεται μόνο όταν ισχύουν και τα τρία. Μετά από εγκεκριμένη αλλαγή, ζητήστε έναν κεντρικό υπολογιστή που υπάρχει μόνο πίσω από την πύλη και μετά ανοίξτε μια κανονική υπηρεσία σε αυτόν. Αν η σήραγγα είναι ενεργή και ο πόρος όχι, το υπόλοιπο σφάλμα βρίσκεται σε διαδρομή της πύλης ή κανόνα τείχους προστασίας, όχι στον πελάτη που μόλις επαναρυθμίσατε.

Καταγράψτε την κατάσταση στην οποία καταλήξατε: έκδοση πακέτου, αρχιτεκτονική, αν το αποτύπωμα επαληθεύτηκε από άλλο κανάλι και ποια επαναφόρτωση ή επανεκκίνηση εκτελέσατε. Αυτή η σημείωση κάνει φθηνό τον πρώτο έλεγχο του επόμενου ανθρώπου.