הפעלת OpenVPN לפני שהרשת מוכנה אינה כשל

אתם מפעילים את הלקוח בזמן האתחול, היחידה מדווחת שהיא פעילה, והמנהרה לא קיימת. המסקנה הטבעית היא שהשירות נכשל בהפעלה, והתיקון הטבעי הוא להפעיל אותו שוב. שניהם שגויים לעתים קרובות מספיק כדי להצדיק כלל: לקוח שרץ ומנסה שוב נראה מבחוץ בדיוק כמו לקוח מקולקל. ההבדל נמצא במה שהתהליך עושה, לא במצב היחידה.

מיתוס: שירות שהופעל משמעו מנהרה שעובדת

יחידה פעילה מוכיחה שהתהליך הופעל ולא יצא. היא אינה מוכיחה שהפרופיל נטען, שהתעודה התקבלה או שהצד השני ענה. לקוח ארוז יכול לשבת בלולאת ניסיונות חוזרים במשך דקות בזמן ש-systemd מדווח רק על הצלחה. הפער הזה בין מצב להתנהגות הוא כל הנושא.

המקרה ההפוך נפוץ באותה מידה. ייתכן שהתהליך יצא לאחר שלא הצליח לקרוא מפתח, ואז היחידה מדווחת על מצב כושל שלא אומר דבר על הסיבה. שני המצבים זקוקים ליומן כדי להבדיל ביניהם.

קראו את היומן של המופע ולא את מצב היחידה. שורת הסיבה נמצאת ביומן, לא בתווית המצב.

מיתוס: הגדרות ניסיון חוזר מכסות כל כשל

פתרון שמות וניסיונות חוזרים של התעבורה הם בקרות נפרדות עם ברירות מחדל נפרדות. resolv-retry שולט בחיפושים חוזרים של שם מארח מרוחק, וברירת המחדל המתועדת ממשיכה לנסות ללא הגבלה. connect-retry קובע את המרווח בין הניסיונות, בעוד connect-retry-max יכול להגביל כמה פעמים כל רשומה מרוחקת נבדקת. בדקו איזה שלב היומן מציין לפני שתשנו אחד מהם.

שום דבר מזה לא חל על פרופיל פגום, מפתח פרטי שאינו קריא או חשבון שנדחה. אלה זקוקים לתיקון, ולקוח שממשיך לנסות אותם אינו מתקדם.

ניסיון חוזר אינסופי של תעודה לא מאושרת אינו סיבה להסיר את האימות. זו סיבה לקרוא את השגיאה.

מיתוס: מפעיל אחד מספיק, אז הוסיפו עוד אחד

חיבור שכבר מנוהל על ידי NetworkManager או יחידה ארוזה אינו זקוק למפעיל שני. שני תהליכים שמתחרים על אותם נתיבים יוצרים ממשקים כפולים, יומנים מבלבלים ומנהרה שמהבהבת מסיבות שאיש אינו רואה. העותק השני מגיע בדרך כלל כעקיפה מפני שהראשון איטי.

החליטו איזה רכיב מחזיק במנהרה לפני שמוסיפים משהו. לאחר מכן הסירו את המפעיל האחר במקום להשבית אותו ולקוות.

הבעלים גם קובע מאיפה מגיעים הניסיונות החוזרים והאישורים, ולכן ההחלטה הזו קודמת לכל כוונון. הבעלות באה ראשונה בדיוק מהסיבה הזו.

מה באמת צריך סדר

הסדר יכול להמתין לכתובת מוגדרת, וזה כל מה שהוא מבטיח. network-online.target מעכב את ההפעלה עד שהמנהל מחשיב את הרשת כעולה, וההגדרה של עולה תלויה במנהל. הוא אינו אומר דבר על האם שם המארח של VPN נפתר, האם המאזין עונה או האם פורטל שבוי הכניס את המכשיר.

קראו את היחידה המותקנת ואת כל קובצי ה-drop-in לפני שמוסיפים תלויות. After= רחב על כל שירות רשת מעכב את האתחול בלי לבסס את החיבור שבאמת דרוש לכם.

סדרו את התלות שאתם יכולים לבדוק, ובדקו את כל השאר עם בדיקת מוכנות. בדיקה שפותחת את המנהרה עדיפה על טיימר שמנחש.

מה קורה אחרי שהמנהרה עולה בפעם הראשונה

האתחול הוא אירוע אחד מבין רבים. קישור הגישה משתנה, הפעלת פורטל פגה, העמית מופעל מחדש. הבדילו בין התחברות מחדש פנימית לבין יציאת תהליך שמנהל השירות מטפל בה, כי לשניים יש בעלים שונים והם משאירים ראיות שונות.

אימות אינטראקטיבי מגביל התאוששות ללא השגחה. יחידת רקע אינה פותחת מחזיק מפתחות של שולחן עבודה ואינה עונה לבקשת MFA, לכן פעלו לפי סידור האישורים המאושר להקשר השירות.

החליטו בנפרד מה מותר ליישומים לעשות כשהמנהרה למטה. ניסיון חוזר משחזר חיבור, בעוד שמדיניות חסימה מחליטה אם תעבורה ישירה מותרת בפער הזה.