OpenConnect vpnc-script: melyik fájlt futtatja?

Az OpenConnect befejezheti az alagút kézfogását, és mégis útvonal nélkül hagyhatja a privát alhálózat felé, mert a kliens és a helyi hálózat állapotát módosító segéd két különböző program. A hitelesítés bizonyítja, hogy az átjáró elfogadta a munkamenetet; semmit nem bizonyít arról, hogy utána melyik interfész, mely útvonalak vagy milyen feloldó-beállítások települtek. A legtöbb zavarba ejtő jelentés abból származik, hogy a segédet egy régi válaszból származó másolattal helyettesítik, ami minden kapcsolat viselkedését megváltoztatja a gépen. Mielőtt bármely részét szerkesztené, keresse meg azt a segédet, amelyet a futó kliens valóban meghív.

Két program, két felelősség

A kliens az átvitelért, a hitelesítésért és az alagút-eszközért felel. Egy külön segéd felel azért, ami a helyi rendszeren történik, miután az alagút létezik: az interfész címzéséért, az átjáró által bejelentett alhálózatok útvonalaiért és a feloldó konfigurációjáért. A az OpenConnect segéd dokumentációja leírja ezt a felosztást és azt a környezetet, amelyet a segéd kap. A megkülönböztetés hiba esetén számít, mert az elutasított jelszó és a hiányzó útvonal nem ugyanaz az esemény, még akkor sem, ha az asztal egyetlen párbeszédablakot mutat mindkettőre.

A felosztás szem előtt tartása azt is megmagyarázza, miért jelenthet sikert egy kapcsolat, miközben a privát nevek még mindig nem oldódnak fel. Az alagút mindkét esetben áll, és csak a helyi integráció szakasza tér el.

Keresse meg azt a segédet, amelyet a futó kliens használ

Az útvonal a csomag építésekor rögzül, és minden híváskor felülírható, ezért a másik disztribúcióból megjegyzett fájlnak lehet, hogy semmi köze ehhez a kapcsolathoz. A futó folyamattól kérdezzen, ne a véletlenül nyitva lévő dokumentációtól.

openconnect --version
ps -o args= -C openconnect
dpkg -L openconnect | grep -i script
ls -l /etc/vpnc/ 2>/dev/null

Ha a folyamat sora --script argumentumot hordoz, az a fájl nyer a lefordított alapértelmezéssel szemben. Régebbi útvonalak, például /etc/vpnc/vpnc-script létezhetnek és használatlanok maradhatnak, ezért törlésük vagy szerkesztésük semmit nem változtat egy újabb buildben. Nézze meg a módosítás dátumát is, mert egy segéd, amelyhez évek óta senki nem nyúlt, erős jele annak, hogy a csomagolt alapértelmezés végzi a munkát.

A NetworkManager-integráció harmadik tulajdonos, saját segéddel és saját profilbeállításokkal. Egy második útvonal- vagy feloldószkript rátelepítése erre az integrációra megkettőzi az útvonalakat, és olyan feloldót hagy, amelyet két program egyaránt magáénak mond. Válasszon egy tulajdonost kapcsolatonként, és a tesztelés előtt kapcsolja ki a másikat.

Az első sikertelen műveletet olvassa, ne az utolsó figyelmeztetést

Az interfész konfigurációja, az útvonalak telepítése, a feloldó kiválasztása és az elavult állapot tisztítása külön lépések, és az utolsóként kiírt figyelmeztetés gyakran tisztítási panasz, nem pedig a kapcsolatot megtörő hiba. Olvasson felfelé az első konkrét sikertelen műveletig. Egy segédhiba, amely fájlt vagy címet nevez meg, többet ér tíz sor bontási zajnál.

Hasonlítsa össze a szándékolt helyi eredményt a megfigyelttel: az alagút-eszköz létezik, egy ismert privát cím felé vezető útvonal rajta halad át, és a feloldó válaszol egy privát névre. Az a segéd, amely az első kettőben sikerrel jár és a harmadikban elbukik, a feloldó szabályára és nem az útvonalválasztásra mutat. Az a segéd, amely egyáltalán nem konfigurálja az eszközt, valószínűleg soha nem futott le, és ez jogosultsági, nem hálózati kérdés. A logika bármilyen átírása előtt erősítse meg a futtatható bitet és a szolgáltatásfiókot.

Ellenőrizze a csatlakozást, az újracsatlakozást és a bontást

A beállítás csak a szerződés fele, mert ugyanannak a segédnek vissza kell állítania vagy el kell távolítania azt az állapotot, amelyet birtokol, amikor az alagút bezárul. Az a segéd, amely útvonalakat ad hozzá és soha nem távolítja el őket, elavult útvonalat hagy a gépen, amely túléli a munkamenetet.

ip -brief address show tun0
ip route get 10.24.8.15
resolvectl status tun0
journalctl -u NetworkManager -b --no-pager | grep -i -E 'vpnc|script'

Futtassa az első hármat, miközben csatlakoztatva van, bontsa a kapcsolatot, majd futtassa újra őket, és erősítse meg, hogy az útvonal és a feloldó bejegyzése eltűnt. A negyedik sor megmutatja, hogy egyáltalán meghívták-e a segédet, és melyik futtatható útvonalat használta a szolgáltatás. Őrizze meg ezt a két kimenetet a jegyben, mert éppen az előtte-utána összehasonlítás teszi nyilvánvalóvá a tisztítási hibát.

Tartsa a segédet csomagoltan és a szolgáltatásfiók számára futtathatóan, mert a héjában futó szkriptet korlátozott szolgáltatási szabályzat mellett is elutasíthatják. Amikor a testreszabás valóban szükséges, dokumentálja a célját és tulajdonosát, és minden frissítésnél hasonlítsa össze a csomagolt verzióval. A segéd megmagyarázatlan ágazata azon kevés dolgok egyike, amelyek egy működő kapcsolatot egy évvel később elronthatnak.