Pysäytä oikea OpenVPN-yhteys: etuala, systemd vai NM

Pääteikkunan sulkeminen ei ole sama kuin tunnelin sulkeminen, eikä prosessin tappaminen ole sama kuin palvelun pysäyttäminen. Linuxissa komennon, joka todella katkaisee yhteyden, riippuu siitä, mikä komponentti käynnisti yhteyden ja omistaa siten sen elinkaaren. Alla oleva vertailu kattaa neljä järjestelyä, joihin todennäköisimmin törmäät, ja tunnisteen, jonka kukin niistä tarvitsee.

Etualan ja taustapalveluksi muutetut asiakkaat

Päätteessä käsin käynnistetty asiakas kuuluu sille päätteelle. Ctrl+C toimittaa keskeytyksen, asiakas purkaa rajapintansa ja tunneli päättyy. Mitään muuta ei tarvitse ilmoittaa.

Kuoren kääreen kautta käynnistetty ja taustalle jätetty asiakas ei kuulu kenellekään erityiselle, ja juuri silloin ihmiset tarttuvat killalliin. Etsi ensin prosessi, varmista, että sen komentorivi mainitsee tarkoitetun profiilin, ja lähetä sitten tavallinen lopetussignaali. Valvottu prosessi, joka tapetaan valvojansa alla, käynnistetään yksinkertaisesti uudelleen, siksi omistajan tunnistaminen on tärkeämpää kuin signaalin valinta. Lähetä signaali prosessiryhmälle vain, kun olet vahvistanut, ettei mikään muu tunneli jaa sitä.

SIGUSR1 ei ole katkaisu; se pyytää asiakasta käynnistämään tunnelin uudelleen.

systemd-instanssit

Kun unit omistaa yhteyden, unit on pysäytettävä objekti. Malli-instanssit kuten openvpn-client@office kantavat profiilin nimen, ja mallin kohteen pysäyttäminen instanssin sijaan voi vaikuttaa jokaiseen isäntäkoneen asiakkaaseen.

systemctl list-units 'openvpn-client@*'
systemctl stop [email protected]

Lue unitin ExecStart, kun et ole varma, minkä profiilin instanssi latasi.

Käytössä oleva unit palaa seuraavassa käynnistyksessä, mikä on erillinen päätös sen nyt pysäyttämisestä. Poista se käytöstä vasta, kun olet päättänyt, ettei yhteyden pidä palata, ja kirjaa päätös paikkaan, josta seuraava ylläpitäjä löytää sen.

NetworkManager-profiilit

NetworkManagerin hallitsema profiili ei ole prosessi, jolle voi lähettää signaalin. Hallinta omistaa elinkaaren, ja objekti, johon pitää vaikuttaa, on aktiivinen yhteys, joka tunnistetaan UUID:stä eikä näyttönimestä. Aktiivisen luettelon lukeminen ensin näyttää myös, ajetaanko toista tunnelia nimellä, jota et odottanut.

nmcli connection show --active
nmcli connection down uuid actual-uuid

Näyttönimet toistuvat, eikä profiilitiedoston nimi ole sen tunniste, joten kopioi UUID luettelosta. Jos yhteys palaa heti, jokin aktivoi sen: secondaries-merkintä perusyhteydessä, dispatcher-skripti tai automaattisen yhdistämisen lippu. Hallinnan yhteyden pysäyttäminen on oikea ensimmäinen askel, ja uudelleenaktivointi on seuraava kysymys. Älä poista profiilia uudelleenaktivoinnin pysäyttämiseksi, koska se poistaa myös tunnistetiedot, joita saatat tarvita huomenna.

Hallinnan komentoviite dokumentoi, miten down-kohde valitaan.

OpenVPN 3 -istunnot

OpenVPN 3 Linux käyttää istuntomallia prosessin sijaan tunnelia kohden. Tarkastelet istuntoja, jotka palvelu tuntee, ja toimit sitten yhdellä istuntopolulla. Polku on tunniste, eikä se ole vaihdettavissa konfiguraation nimeen.

openvpn3 sessions-list
openvpn3 session-manage --path /net/openvpn/v3/sessions/... --disconnect

Jokaisen istunnon katkaiseminen on eri toimenpide, ja sen pitäisi olla harkittu.

Sama isäntä voi pitää usean käyttäjän istuntoja, joten luettele ennen toimimista ja vahvista sen istunnon omistaja, jonka aiot lopettaa.

Mitä tarkistaa jälkeenpäin

Tarkista kolme asiaa minkä tahansa näistä pysäytyksistä jälkeen: aktiivisten yhteyksien luettelo ei enää sisällä tunnelia, rajapinta on poissa, ja sisäisen osoitteen reittihaku ei enää valitse tunnelilaitetta. Päätä sitten, mitä seuraavassa käynnistyksessä tapahtuu.

ip -brief address
ip route get 10.8.0.1

Rajapinnan poistaminen käsin ei pysäytä omistajaa, ja se jättää siivouksen puolivalmiiksi.

Katkaista nyt, estää seuraava automaattinen käynnistys ja sallia ei-VPN-liikenne sen jälkeen ovat kolme erillistä valintaa. Tee jokainen niistä eksplisiittisesti.