AWS Client VPN start net op Linux? Kies de juste runtime

Jo hawwe it pakket AWS Client VPN op Ubuntu ynstallearre, it útfierd en in laderflater krigen oer in ûntbrekkende dielde bibleteek foardat elk profyl lêzen wie. De yntuysje is om dy bibleteek út in âldere ferzje te heljen en troch te gean. Dat ruilet meastal ien brutsen ôfhinklikens foar in systeem dat net mear by syn eigen pakketdatabase past. De startflater is in fraach fan 'e stypgrins, net fan it netwurk.

De flater neamt in bibleteek, net it netwurk

In desktop-VPN-klant moat syn runtime lade foardat er nei jo profyl of jo einpunt sjen kin. As de dynamyske lader in symboal net oplosse kin, stjert it proses yn 'e earste sekonde en ferskynt it finster nea. Gjin hoemannichte profylbewurking, DNS-wurk of rûteferoarings berikt dy faze. Lês it berjocht letterlik, want it fertelt jo krekt hokker objekt de lader woe.

Sa skiede jo ek twa flaterfamyljes. In ûntbrekkend dield objekt is in pakkeprobleem op jo host, wylst in ôfwizing fan autentikaasje in beslút oan 'e tsjinstkant is dat folle letter yn 'e folchoarder komt.

Beide einigje mei in finster dat tichtet, dêrom wurde se trochinoar helle yn bugrapporten.

Globalisearringskeakels binne in oar probleem

Flaters dy't ICU of globalisearring neame, komme fan 'e .NET-runtime ûnder guon klantbuilds, net fan 'e TLS-stapel. It ynstellen fan 'e keakel foar invariante globalisearring feroaret hoe't dy runtime kultuergegevens behannelet, en it leveret gjin ûntbrekkende libssl. It tapasse om in TLS-flater stil te meitsjen lit jo mei in klant dy't start en dan earne oars mislearret.

Hâld de twa yn aparte kisten: ien feroaret it gedrach fan 'e runtime, de oare foldocht in linker. Nei de earste gripe as jo de twadde hawwe, is in gewoante dy't it wurdich is om ôf te lizzen.

As de host it fereaske runtime echt net leverje kin, is it stipe antwurd in oare host, net in oanpaste.

Wêrom it ymportearjen fan in âlde OpenSSL tsjin jo wurket

libssl en libcrypto fan in âldere distribúsje nei /usr/lib kopiearje wurket faak genôch om ferloklik te wêzen. It set ek in bibleteek bûten de kontrôle fan 'e pakketbehearder, dat elke lettere feilichheidsfernijing mist it of botst der mei. Op in host dy't ek in browser of in SSH-klant draait, hawwe jo de kryptostapel feroare foar programma's dy't dêr nea om frege hawwe.

It stipe paad is de dokumintearre pakketboarne en syn ôfhinklikensoplossing foar krekt jo OS-ferzje en arsjitektuer. Kontrolearje de AWS-fereasken foar de Linux-klant en de útjefte-notysjes foar de ferzje dy't jo ynstallearje, want de stypmatrix ferskoot tusken útjeften.

In âlde forumoplossing is in momintopname fan ien útjeftepear, gjin garânsje foar kompatibiliteit.

Hâld de tsjinstdefinysje fan 'e leveransier

Guon gidsen jouwe jo in minimale systemd-ienheid om de pakkete te ferfangen. Dy ienheid lit ornaris arguminten, hurdensynstellingen en yntegraasje weilizze dy't de leveransier letter tafoege, en de resultearjende flater ferskynt earne dêr't jo it net mei de bewurking ferbine sille.

Brûk ynstee in drop-in as jo in feroaring nedich hawwe: in lyts oerskriuwbestân yn 'e .d-map fan 'e ienheid dat ien rjochtline tafoeget of ferfangt, mei in kommentaar wêrom't it bestiet en hoe't it weromdraaid wurde kin. Jo hâlde it bestân fan 'e leveransier yntakt, en de folgjende pakketfernijing makket jo wurk net stil ûngedien en duplisearret it ek net.

Skriuw it oerskriupaad yn jo notysjes, want de folgjende behearder sil dêr earst sjen.

Bewiis de start foardat jo rûtes debugge

Krij de klant betrouber oan 'e gong mei it goedkarde profyl, meld jo dan oan, befêstigje dan de tunnel, en sjoch pas dêrnei nei rûtes, DNS en privee-boarnen. Elke faze produsearret syn eigen bewiis, en se trochinoar helje lit in runtime-probleem op in rûteprobleem lykje. As jo stipe fan 'e leveransier nedich hawwe, fêstlizze dan it earste nuttige startevenemint ynstee fan in skermôfbylding fan it tichtgjende finster.

Ferbine nea in privee kaai of in folslein profyl mei ynbêde referinsjes as diagnostysk materiaal.

Ien fraach lost de measte fan dizze tickets op: wurdt de ynstallearre klantferzje noch stipe op dizze OS-ferzje? Sa net, dan is de oplossing in stipe pear, gjin nije bibleteekjacht.