Algo segue iniciando unha unidade de OpenVPN: atopa a orixe

Unha instancia de OpenVPN aparece ao arrincar cun nome que non recoñeces, e detela funciona ata o seguinte reinicio. Ese patrón significa que eliminaches o proceso pero non a activación. Son dous obxectos distintos, e só un deles é visible nunha pantalla de estado. Atopar a activación require catro ordes de só lectura e unha decisión.

Nomea primeiro a unidade exacta

Parte do nome da unidade no journal, non do nome dun ficheiro de perfil. A instancia pode chamarse openvpn@, openvpn-client@, openvpn-server@ ou algo específico da distribución, e adiviñar o nome lévao ao modelo equivocado. A saída de estado nomea a unidade que realmente se executou, e ese é o único nome que importa aquí. Cópiao exactamente, incluído calquera sufixo.

As ordes seguintes describen esa unidade sen cambiar nada. systemctl show informa da ruta do fragmento, a ruta de orixe, o estado do ficheiro de unidade, os posibles drop-ins e que a activou. list-dependencies --reverse mostra que unidades cargadas apuntan a ela. Ambas son de só lectura, así que execútaas antes de formar unha teoría.

Substitúe o nome observado en todas partes. Un nome de exemplo copiado é a forma máis común de investigar o servizo equivocado, e produce respostas seguras sobre unha unidade que nunca se executou.

Le o modelo para aprender o nome do ficheiro

Unha unidade de instancia é unha expansión dun modelo, e o modelo decide que ficheiro de configuración le. Unha liña de ordes que remata nun marcador de posición por instancia resólvese no nome da instancia máis o sufixo. Se o sufixo é .conf e a instancia chámase old, o ficheiro é old.conf. Se chamas a instancia old.conf, o mesmo modelo pide old.conf.conf.

Ese detalle explica unha clase de duplicados. Alguén engade unha segunda instancia co nome equivocado, a primeira segue executándose e o host acaba con dous túneles e un rexistro confuso.

Le o modelo efectivo en lugar do ficheiro que recordas ter editado. Un drop-in pode substituír a liña de ordes, e a substitución é o que se executa ao arrincar.

Rastrexa como entra na transacción de arrinque

Tres rutas son habituais: unha ligazón wants desde un target, un requisito doutra unidade ou unha unidade xerada por un xerador de paquetes. A listaxe de dependencias inversas cobre as dúas primeiras como entradas cargadas do grafo. Non cobre un temporizador, un hook nin unha petición externa, e por iso a listaxe é unha proba e non unha auditoría completa.

A saída xerada baixo /run/systemd/generator é un produto, non unha fonte. Editala só sobrevive ata a seguinte xeración, e por iso unha corrección aplicada alí parece exitosa e logo reverte.

Comproba a entrada documentada do paquete antes de supor de onde le o xerador. Un escaneo non documentado dun directorio é a razón habitual pola que aparece unha unidade sen unha ligazón de activación.

Elimina a activación, non só o proceso

Se a instancia está activada directamente e é realmente obsoleta, systemctl disable --now detena e elimina a ligazón de arrinque nun só paso. Comproba primeiro que este túnel non sexa a túa única vía administrativa cara ao host. A orde é un exemplo de ciclo de vida, non unha suxestión de deter cada VPN da máquina. Executa a comprobación antes da orde, non despois.

As dúas metades son separables e a miúdo confúndense. Desactivar non detén un servizo en execución, e deter non elimina a activación, así que unha orde parcial explica un problema que volve ao arrincar.

Unha unidade desactivada aínda pode ser iniciada por outra unidade ou por unha petición explícita. Cando un xerador posúe a activación, corrixe a entrada do xerador en lugar de desactivar a súa saída. A ocultación bloquea máis rutas pero pode romper dependencias, así que non substitúe a comprensión.

Verifica cun reinicio, non cunha pantalla de estado

Recarga systemd se cambiaron as definicións de unidade ou as entradas do xerador, e despois inspecciona o estado resultante. Unha recarga do daemon non empurra un perfil novo dentro dun túnel en execución, así que as dúas comprobacións son separadas. Programa un reinicio e confirma que a instancia segue ausente mentres o túnel previsto segue funcionando.

Mantén o perfil antigo ata que se entenda a súa propiedade, e retírao despois polo proceso previsto. O éxito é unha unidade ausente e unha vía de acceso funcional, non unha unidade fallida que falta nunha pantalla.