OpenConnect vpnc-script: millist faili see käivitab?

OpenConnect võib tunneli käepigistuse lõpetada ja jätta teid ikkagi ilma marsruudita privaatsesse almasse, sest klient ja abiline, mis muudab kohaliku võrgu olekut, on kaks erinevat programmi. Autentimine tõestab, et lüüs võttis sessiooni vastu; see ei tõesta midagi selle kohta, milline liides, millised marsruudid või millised resolveri seaded pärast seda paigaldati. Enamik segadust tekitavaid raporteid tuleb abilise asendamisest vanast vastusest võetud koopiaga, mis muudab masina iga ühenduse käitumist. Enne mis tahes osa muutmist leidke abiline, mida jooksev klient tegelikult kutsub.

Kaks programmi, kaks vastutust

Klient vastutab transporti, autentimise ja tunneliseadme eest. Eraldi abiline vastutab selle eest, mis toimub kohalikus süsteemis, kui tunnel on olemas: aadresside määramine liidesel, marsruudid lüüsi teatatud alamatele ja resolveri konfiguratsioon. OpenConnecti abilise dokumentatsioon kirjeldab seda jaotust ja keskkonda, mille abiline saab. See erinevus loeb rikke ajal, sest tagasi lükatud parool ja puuduv marsruut ei ole sama juhtum, isegi kui töölaud näitab mõlema jaoks ühte dialoogi.

Selle jaotuse meeles pidamine selgitab ka seda, miks ühendus võib teatada õnnestumisest, samal ajal kui privaatsed nimed ei lahene. Tunnel on mõlemal juhul üleval ja erineb ainult kohaliku integreerimise etapp.

Leidke abiline, mida jooksev klient kasutab

Tee määratakse paketi koostamisel ja seda saab iga kutse puhul tühistada, seega fail, mida mäletate mõnest teisest distributsioonist, ei pruugi selle ühendusega üldse seotud olla. Küsige jooksvalt protsessilt, mitte dokumentatsioonilt, mis teil juhuslikult lahti on.

openconnect --version
ps -o args= -C openconnect
dpkg -L openconnect | grep -i script
ls -l /etc/vpnc/ 2>/dev/null

Kui protsessi rida kannab argumenti --script , võidab see fail kompileeritud vaikeväärtuse ees. Vanemad teed nagu /etc/vpnc/vpnc-script võivad eksisteerida ja jääda kasutamata, mistõttu nende kustutamine või muutmine ei muuda värskes koostes midagi. Kontrollige ka muutmise kuupäeva, sest abiline, mida keegi pole aastaid puutunud, on tugev märk, et töö teeb pakendatud vaikeväärtus.

NetworkManageri integratsioon on kolmas omanik, oma abilise ja oma profiiliseadetega. Teise marsruudi- või resolveriskripti lisamine selle integratsiooni peale dubleerib marsruudid ja jätab resolveri, mida kaks programmi väidavad end haldavat. Valige üks omanik ühenduse kohta ja lülitage teine enne testimist välja.

Lugege esimest ebaõnnestunud toimingut, mitte viimast hoiatust

Liidese konfiguratsioon, marsruutide paigaldamine, resolveri valik ja vananenud oleku koristamine on eraldi sammud ning viimasena trükitud hoiatus on sageli koristamiskaebus, mitte rike, mis ühenduse katkestas. Lugege ülespoole kuni esimese konkreetse ebaõnnestunud toiminguni. Abilise viga, mis nimetab faili või aadressi, on väärt rohkem kui kümme rida lammutamise müra.

Võrrelge kavandatud kohalikku tulemust täheldatuga: tunneliseade on olemas, marsruut teadaolevale privaatsele aadressile läheb selle kaudu ja resolver vastab privaatsele nimele. Abiline, mis õnnestub kahes esimeses ja ebaõnnestub kolmandas, viitab resolveri poliitikale, mitte marsruutimisele. Abiline, mis ei konfigureeri seadet üldse, jäi tõenäoliselt kunagi käivitamata, ja see on õiguste, mitte võrgu küsimus. Kinnitage käivitatav bitt ja teenusekonto enne mis tahes loogika ümberkirjutamist.

Kontrollige ühendamist, uuesti ühendamist ja katkestamist

Seadistamine on ainult pool lepingut, sest sama abiline peab tunneli sulgudes taastama või eemaldama oleku, mida ta haldab. Abiline, mis lisab marsruute ega eemalda neid kunagi, jätab masinale vananenud tee, mis elab sessioonist kauem.

ip -brief address show tun0
ip route get 10.24.8.15
resolvectl status tun0
journalctl -u NetworkManager -b --no-pager | grep -i -E 'vpnc|script'

Käivitage esimesed kolm ühendatud olekus, katkestage ühendus, seejärel käivitage need uuesti ja kinnitage, et marsruut ja resolveri kirje on kadunud. Neljas rida näitab, kas abilist üldse kutsuti ja millist käivitatavat teed teenus kasutas. Salvestage see väljundipaar piletisse, sest just enne-ja-pärast teeb koristamise vea ilmsiks.

Hoidke abiline pakendatud ja teenusekonto poolt käivitatav, sest skript, mis jookseb teie shellis, võidakse piiratud teenusepoliitika all ikkagi tagasi lükata. Kui kohandamine on tõesti vajalik, dokumenteerige selle eesmärk ja omanik ning võrrelge seda iga uuenduse juures pakendatud versiooniga. Abilise seletamata hargnemine on üks väheseid asju, mis võib töötava ühenduse aasta hiljem katki teha.