Το OpenVPN που ξεκινά πριν το δίκτυο δεν είναι αποτυχία

Ξεκινάτε τον πελάτη κατά την εκκίνηση, η μονάδα αναφέρει ενεργή, και η σήραγγα δεν υπάρχει. Το φυσικό συμπέρασμα είναι ότι η υπηρεσία απέτυχε να ξεκινήσει, και η φυσική διόρθωση είναι να την ξεκινήσετε ξανά. Και τα δύο είναι αρκετά συχνά λάθος ώστε να αξίζουν έναν κανόνα: ένας πελάτης που τρέχει και επαναλαμβάνει φαίνεται από έξω ακριβώς σαν χαλασμένος. Η διαφορά βρίσκεται σε αυτό που κάνει η διεργασία, όχι στην κατάσταση της μονάδας.

Μύθος: μια υπηρεσία που ξεκίνησε σημαίνει σήραγγα που λειτουργεί

Μια ενεργή μονάδα αποδεικνύει ότι η διεργασία ξεκίνησε και δεν τερμάτισε. Δεν αποδεικνύει ότι το προφίλ φορτώθηκε, ότι το πιστοποιητικό έγινε δεκτό ή ότι η άλλη πλευρά απάντησε. Ένας συσκευασμένος πελάτης μπορεί να μείνει σε βρόχο επανάληψης για λεπτά, ενώ το systemd αναφέρει μόνο επιτυχία. Αυτό το χάσμα μεταξύ κατάστασης και συμπεριφοράς είναι όλο το θέμα.

Η αντίθετη περίπτωση είναι εξίσου συχνή. Η διεργασία μπορεί να τερμάτισε αφού απέτυχε να διαβάσει ένα κλειδί, και η μονάδα αναφέρει τότε κατάσταση αποτυχίας που δεν λέει τίποτα για τον λόγο. Και οι δύο καταστάσεις χρειάζονται το ημερολόγιο για να διακριθούν.

Διαβάστε το ημερολόγιο για το στιγμιότυπο αντί για την κατάσταση της μονάδας. Η γραμμή του λόγου βρίσκεται στο ημερολόγιο, όχι στην ετικέτα κατάστασης.

Μύθος: οι ρυθμίσεις επανάληψης καλύπτουν κάθε αποτυχία

Η επίλυση ονομάτων και οι επαναλήψεις μεταφοράς είναι ξεχωριστοί έλεγχοι με ξεχωριστές προεπιλογές. Το resolv-retry ελέγχει τις επαναλαμβανόμενες αναζητήσεις ενός απομακρυσμένου ονόματος κεντρικού υπολογιστή, και η τεκμηριωμένη προεπιλογή συνεχίζει να δοκιμάζει επ' άπειρον. Το connect-retry ορίζει το διάστημα μεταξύ των προσπαθειών, ενώ το connect-retry-max μπορεί να περιορίσει πόσες φορές δοκιμάζεται κάθε απομακρυσμένη καταχώριση. Ελέγξτε ποιο στάδιο ονομάζει το ημερολόγιο πριν αλλάξετε οποιοδήποτε από αυτά.

Τίποτα από αυτά δεν ισχύει για ένα παραμορφωμένο προφίλ, ένα μη αναγνώσιμο ιδιωτικό κλειδί ή έναν απορριφθέντα λογαριασμό. Αυτά χρειάζονται διόρθωση, και ένας πελάτης που τα επαναλαμβάνει δεν προχωρά.

Η ατελείωτη επανάληψη ενός μη εγκεκριμένου πιστοποιητικού δεν είναι λόγος να αφαιρέσετε την επαλήθευση. Είναι λόγος να διαβάσετε το σφάλμα.

Μύθος: ένας εκκινητής αρκεί, οπότε προσθέστε άλλον

Μια σύνδεση που διαχειρίζεται ήδη το NetworkManager ή μια συσκευασμένη μονάδα δεν χρειάζεται δεύτερο εκκινητή συνδεδεμένο πάνω της. Δύο διεργασίες που ανταγωνίζονται για τις ίδιες διαδρομές παράγουν διπλές διεπαφές, μπερδεμένα ημερολόγια και μια σήραγγα που πηγαινοέρχεται για λόγους που κανείς δεν βλέπει. Το δεύτερο αντίγραφο έρχεται συνήθως ως παράκαμψη επειδή το πρώτο είναι αργό.

Αποφασίστε ποιο στοιχείο κατέχει τη σήραγγα πριν προσθέσετε οτιδήποτε. Στη συνέχεια αφαιρέστε τον άλλο εκκινητή αντί να τον απενεργοποιήσετε και να ελπίζετε.

Ο ιδιοκτήτης καθορίζει επίσης από πού προέρχονται οι επαναλήψεις και τα διαπιστευτήρια, γι' αυτό αυτή η απόφαση έρχεται πριν από οποιαδήποτε ρύθμιση. Η ιδιοκτησία έρχεται πρώτη ακριβώς για αυτόν τον λόγο.

Τι χρειάζεται πραγματικά σειρά

Η σειρά μπορεί να περιμένει μια διαμορφωμένη διεύθυνση, και αυτό είναι το μόνο που εγγυάται. Το network-online.target καθυστερεί την ενεργοποίηση μέχρι ο διαχειριστής να θεωρήσει το δίκτυο ενεργό, και ο ορισμός του ενεργού εξαρτάται από τον διαχειριστή. Δεν λέει τίποτα για το αν επιλύεται το όνομα κεντρικού υπολογιστή VPN, αν απαντά ο ακροατής ή αν μια αιχμάλωτη πύλη επέτρεψε τη συσκευή.

Διαβάστε την εγκατεστημένη μονάδα και τυχόν drop-in πριν προσθέσετε εξαρτήσεις. Ένα ευρύ After= σε κάθε υπηρεσία δικτύου καθυστερεί την εκκίνηση χωρίς να εγκαθιστά τη σύνδεση που χρειάζεστε πραγματικά.

Ταξινομήστε την εξάρτηση που μπορείτε να δοκιμάσετε, και ελέγξτε όλα τα άλλα με ανιχνευτή ετοιμότητας. Ένας ανιχνευτής που ανοίγει τη σήραγγα υπερτερεί ενός χρονόμετρου που μαντεύει.

Τι συμβαίνει αφού η σήραγγα ανέβει για πρώτη φορά

Η εκκίνηση είναι ένα γεγονός ανάμεσα σε πολλά. Ο σύνδεσμος πρόσβασης αλλάζει, μια συνεδρία πύλης λήγει, ο ομότιμος επανεκκινεί. Διακρίνετε μια εσωτερική επανασύνδεση από ένα τέλος διεργασίας που χειρίζεται ο διαχειριστής υπηρεσιών, γιατί τα δύο έχουν διαφορετικούς ιδιοκτήτες και αφήνουν διαφορετικά στοιχεία.

Ο διαδραστικός έλεγχος ταυτότητας περιορίζει την αφύλακτη αποκατάσταση. Μια μονάδα παρασκηνίου δεν ξεκλειδώνει κλειδοθήκη επιφάνειας εργασίας ούτε απαντά σε αίτημα MFA, γι' αυτό ακολουθήστε την εγκεκριμένη διάταξη διαπιστευτηρίων για το πλαίσιο της υπηρεσίας.

Αποφασίστε ξεχωριστά τι επιτρέπεται να κάνουν οι εφαρμογές όσο η σήραγγα είναι κάτω. Η επανάληψη αποκαθιστά μια σύνδεση, ενώ μια πολιτική αποκλεισμού αποφασίζει αν επιτρέπεται άμεση κίνηση σε αυτό το κενό.