Kerio VPN -asiakasohjelma Linuxissa: viisi tarkistusta järjestyksessä

Kun Kerio VPN -asiakasohjelma asennetaan Linuxiin, työpöydälle ei ilmesty kuvaketta ja yksityinen verkko jää tavoittamattomiin. Se on tämän asiakasohjelman normaali muoto eikä rikkinäinen asennus: GFI:n Linux-ohjeet kuvaavat komentoriviltä tehtävää määritystä ja palveluskriptiä, ilman mitään graafista käyttöliittymää. Käy alla olevat tarkistukset järjestyksessä läpi, sillä jokainen purkaa eri kerrosta. Ensimmäinen epäonnistuminen kertoo, mihin pysähtyä, ja edelle hyppääminen tarkoittaa yleensä sellaisen paketin uudelleenrakentamista, joka ei koskaan ollut ongelma.

Varmista, että koontiversio vastaa konetta

Aloita siitä, mitä dpkg ajattelee koneesta ja mihin paketti on rakennettu. Tavallisessa 64-bittisessä järjestelmässä dpkg --print-architecture tulostaa amd64, ja toimittajan sivu luettelee amd64-paketin tavallisen Debian-paketin vieressä. Lue julkaisuversio sen tiedoston nimestä, jonka todella asensit, sen sijaan että olettaisit kahden täsmäävän.

Vuoden 2013 i386:lle rakennettu arkisto ei muutu 64-bittiseksi vain siksi, että välitit --force-architecture asennuksen yhteydessä. Pakottaminen asentaa vieraita binäärejä, piilottaa riippuvuusvirheen käynnistimen taakse, joka silti käynnistyy, ja voi saada daemonin lataamaan väärät kirjastot. Jos julkaisusi on vain 32-bittinen, aja se 32-bittisessä ympäristössä tai pyydä yhdyskäytävän omistajalta ajantasainen koontiversio.

Tarkista myös riippuvuuksien rivi. dpkg -s kerio-control-vpnclient | grep -i depends näyttää, mitä paketti odottaa, ja täyttymätön versiovaatimus tai puuttuva ajonaikainen kirjasto näkyy täällä, ei asiakasohjelman lokissa.

Määritä se paketin ohjatulla toiminnolla

Asiakasohjelmassa ei suunnittelun mukaan ole merkintää sovellusvalikossa, joten puuttuva kuvake ei kerro mitään siitä, onnistuiko määritys. Avaa ohjattu toiminto uudelleen komennolla sudo dpkg-reconfigure kerio-control-vpnclient ja vastaa sen kysymyksiin: VPN:n päätepiste, tilin tiedot ja palvelimen varmenteen sormenjälki.

Käsittele sormenjälkikysymystä ainoana paikkana, jossa väärä palvelin voi voittaa. Vertaa arvoa yhdyskäytävää ylläpitävän ylläpitäjän antamiin palvelintietoihin, älä siihen, mitä päätepiste esittää. Sellaisen sormenjäljen hyväksyminen, jota et voi varmistaa, tekee tämän luettelon lopusta koristetta, sillä vihamielinen palvelin näyttää tallennetun kiinnityksen jälkeen täsmälleen samalta kuin oikea. Jos arvoa ei voi vahvistaa toista kanavaa pitkin, pysähdy ja kysy, vaikka tunneli muuten nousisi.

Ohjatun toiminnon uudelleen ajaminen muuttaa määritystä ja voi käynnistää asiakasohjelman uudelleen, joten pidä toinen reitti koneelle, kun työskentelyistuntosi riippuu tuosta VPN:stä. Kirjoita salasana tavalliseen kehotteeseen sen sijaan, että upottaisit sen komentoon, joka päätyy komentotulkin historiaan.

Tunne tiedosto, jonka ohjattu toiminto kirjoittaa

Määritys sijaitsee tiedostossa /etc/kerio-kvc.conf ja se kantaa sekä tilin että kiinnitetyn sormenjäljen. Käsittele sitä salaisena materiaalina. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf ei saisi näyttää sitä kaikkien luettavana.

Valtuutetun manuaalisen muokkauksen jälkeen lataa tiedoston omistava daemon uudelleen sen sijaan, että käynnistäisit verkkopinon uudelleen: sudo /etc/init.d/kerio-kvc reload. Uudelleenlataus lukee määrityksen uudestaan ja pudottaa nykyisen istunnon, joten se ei ole merkityksetön toimi elävällä yhteydellä.

Kopioi edellinen tiedosto ennen kuin muutat mitään. Jos todennus epäonnistuu muokkauksen jälkeen, viimeisen toimivan kopion palauttaminen kestää sekunteja ja eristää muokkauksen verkosta, mikä on halvin tapa oppia, kumpi kahdesta liikahti.

Erota elävä istunto käynnistyskäyttäytymisestä

Palveluskripti ohjaa nykyistä yhteyttä: sudo /etc/init.d/kerio-kvc stop päättää tunnelin heti ja start tuo sen takaisin. Kumpikaan komento ei päätä, mitä seuraavalla käynnistyskerralla tapahtuu, ja tuo ero on merkityksellinen koneella, jota hallitset etänä.

Selvitä, kuka omistaa käynnistyksen, ennen kuin poistat linkkejä tai peität jotain. Paketti voi asentaa oman init-skriptinsä, luoda unitin tai tehdä molemmat, ja väärän nimen poistaminen käytöstä tuo asiakasohjelman takaisin uudelleenkäynnistyksen jälkeen. Tarkista systemctl status kerio-kvc paketin dokumentaation käyttämää nimeä vasten ja poista sitten käytöstä polku, jota käynnistysprosessi todella lukee.

Älä korvaa OpenVPN-unitia siksi, että määritys näyttää samanlaiselta. Tämä asiakasohjelma puhuu omaa protokollaansa Kerio-yhdyskäytävän kanssa, joten samaan tiedostoon osoitettu toinen daemon ei todentaudu, ja ylimääräinen epäonnistuminen vaikeuttaa todisteiden lukemista. GFI:n Linux-asiakasohjelma pitää myös vain yhtä VPN-yhteyttä kerrallaan; raja koskee asiakasohjelmaa, ei yhdyskäytävän käyttäjäkapasiteettia.

Lue lokit ja tarkista sitten resurssi

Kolme tiedostoa hakemistossa /var/log/kerio-kvc kertovat daemonin tarinan: init.log elinkaaritapahtumille, error.log kriittisille virheille ja debug.log yksityiskohdille. Lue pienin ote, joka vastaa kysymykseesi, ja poista päätepisteet ja käyttäjänimet ennen kuin liität sen mihinkään. Aukko tiedostossa init.log ohjatun toiminnon suoritusajan ympärillä kertoo, ettei daemonia koskaan käynnistetty uudelleen.

Kelvollinen paketti, käynnissä oleva daemon ja tavoitettavissa oleva resurssi ovat kolme erillistä tulosta, ja luettelo on valmis vasta kun kaikki kolme pitävät. Pyydä hyväksytyn muutoksen jälkeen isäntää, joka on olemassa vain yhdyskäytävän takana, ja avaa siinä tavallinen palvelu. Jos tunneli on ylhäällä ja resurssi ei, jäljellä oleva vika on yhdyskäytävän reitissä tai palomuurin säännössä, ei asiakasohjelmassa, jonka juuri määritit uudelleen.

Kirjaa tila, johon päädyit: paketin julkaisu, arkkitehtuuri, varmistettiinko sormenjälki toista kanavaa pitkin ja minkä uudelleenlatauksen tai uudelleenkäynnistyksen teit. Juuri se muistiinpano tekee seuraavan henkilön ensimmäisestä tarkistuksesta halvan.