OpenConnect vpnc-script: kiun dosieron ĝi rulas?

OpenConnect povas fini la manpremon de la tunelo kaj tamen lasi vin sen vojo al la privata subretaĵo, ĉar la kliento kaj la helpilo, kiu ŝanĝas la lokan retan staton, estas du malsamaj programoj. Aŭtentikigo pruvas, ke la enirejo akceptis la seancon; ĝi pruvas nenion pri tio, kiun interfacon, kiujn vojojn aŭ kiujn agordojn de solvilo oni instalas poste. Plej multaj konfuzaj raportoj venas de anstataŭigo de la helpilo per kopio el malnova respondo, kio ŝanĝas la konduton de ĉiu konekto sur la maŝino. Trovu la helpilon, kiun la funkcianta kliento vere alvokas, antaŭ ol redakti iun ajn parton de ĝi.

Du programoj, du respondecoj

La kliento posedas transportadon, aŭtentikigon kaj la tunelan aparaton. Aparta helpilo posedas tion, kio okazas en la loka sistemo, kiam la tunelo ekzistas: adresadon sur la interfaco, vojojn al la subretaĵoj anoncitaj de la enirejo kaj agordon de la solvilo. La dokumentaro de la helpilo de OpenConnect priskribas tiun dividon kaj la medion, kiun la helpilo ricevas. La distingo gravas dum misfunkcio, ĉar rifuzita pasvorto kaj mankanta vojo ne estas la sama okazaĵo, eĉ kiam la labortablo montras unu dialogon por ambaŭ.

Memori tiun dividon ankaŭ klarigas, kial konekto povas raporti sukceson dum privataj nomoj ankoraŭ ne solviĝas. La tunelo estas aktiva en ambaŭ kazoj, kaj nur la loka integra etapo diferencas.

Trovu la helpilon, kiun la funkcianta kliento uzas

La vojo estas fiksita kiam la pakaĵo estas konstruita kaj povas esti anstataŭigita ĉe ĉiu alvoko, do la dosiero, kiun vi memoras el alia distribuo, eble havas nenion komunan kun ĉi tiu konekto. Demandu la funkciantan procezon anstataŭ la dokumentaron, kiun vi hazarde malfermis.

openconnect --version
ps -o args= -C openconnect
dpkg -L openconnect | grep -i script
ls -l /etc/vpnc/ 2>/dev/null

Se la proceza linio portas argumenton --script , tiu dosiero venkas super la kompilita defaŭlto. Pli malnovaj vojoj kiel /etc/vpnc/vpnc-script povas ekzisti kaj resti neuzataj, jen kial forigo aŭ redakto de ili ŝanĝas nenion ĉe freŝa konstruo. Kontrolu ankaŭ la modifan daton, ĉar helpilo, kiun neniu tuŝis dum jaroj, estas forta signo, ke la pakita defaŭlto faras la laboron.

La integriĝo kun NetworkManager estas tria posedanto, kun propra helpilo kaj propraj profilaj agordoj. Aldoni duan skripton pri vojoj aŭ solvilo sur tiun integriĝon duobligas vojojn kaj lasas solvilon, pri kiu du programoj asertas, ke ili administras ĝin. Elektu unu posedanton por konekto kaj malŝaltu la alian antaŭ testado.

Legu la unuan malsukcesan operacion, ne la lastan averton

Agordo de la interfaco, instalado de vojoj, elekto de solvilo kaj purigado de kaduka stato estas apartaj paŝoj, kaj la averto presita laste estas ofte plendo pri purigado, ne la paneo, kiu rompis la konekton. Legu supren ĝis la unua konkreta operacio, kiu malsukcesis. Eraro de helpilo, kiu nomas dosieron aŭ adreson, valoras pli ol dek linioj da malkonstrua bruo.

Komparu la celitan lokan rezulton kun la observata: la tunela aparato ekzistas, vojo al konata privata adreso iras tra ĝi, kaj la solvilo respondas pri privata nomo. Helpilo, kiu sukcesas ĉe la du unuaj kaj malsukcesas ĉe la tria, indikas politikon de la solvilo, ne vojigon. Helpilo, kiu tute ne agordas la aparaton, verŝajne neniam estis rulita, kaj tio estas demando pri permesoj, ne pri reto. Konfirmu la plenumeblan biton kaj la servan konton antaŭ ol reverki ajnan logikon.

Kontrolu konekton, rekonekton kaj malkonekton

Agordo estas nur duono de la kontrakto, ĉar la sama helpilo devas restarigi aŭ forigi la staton, kiun ĝi posedas, kiam la tunelo fermiĝas. Helpilo, kiu aldonas vojojn kaj neniam forigas ilin, lasas la maŝinon kun kaduka vojo, kiu pluvivas la seancon.

ip -brief address show tun0
ip route get 10.24.8.15
resolvectl status tun0
journalctl -u NetworkManager -b --no-pager | grep -i -E 'vpnc|script'

Rulu la unuajn tri dum vi estas konektita, malkonektu, poste rulu ilin denove kaj konfirmu, ke la vojo kaj la solvila enskribo malaperis. La kvara linio montras, ĉu la helpilo estis alvokita entute kaj kiun plenumeblan vojon la servo uzis. Konservu tiun paron da eligoj en la bileto, ĉar ĝuste la komparo antaŭe kaj poste evidentigas purigan cimon.

Tenu la helpilon pakita kaj plenumebla por la serva konto, ĉar skripto, kiu ruliĝas en via ŝelo, ankoraŭ povas esti rifuzita sub limigita serva politiko. Kiam agordo vere necesas, dokumentu ĝian celon kaj posedanton kaj komparu ĝin kun la pakita versio ĉe ĉiu ĝisdatigo. Neesplika forko de helpilo estas unu el la malmultaj aferoj, kiuj povas igi funkciantan konekton malsukcesi jaron poste.