AWS Client VPN tidak mau terbuka di Linux? Cocokkan runtime-nya

Anda memasang paket AWS Client VPN di Ubuntu, menjalankannya, dan mendapat galat pemuat tentang pustaka bersama yang hilang sebelum satu pun profil dibaca. Naluri pertama adalah mengambil pustaka itu dari rilis lama dan melanjutkan. Itu biasanya menukar satu dependensi rusak dengan sistem yang tidak lagi cocok dengan basis paketnya sendiri. Kegagalan peluncuran adalah soal batas dukungan, bukan soal jaringan.

Galat menyebut pustaka, bukan jaringan

Klien VPN desktop harus memuat runtime-nya sebelum bisa melihat profil atau titik akhir Anda. Ketika pemuat dinamis tidak dapat menyelesaikan simbol, prosesnya mati pada detik pertama dan jendelanya tidak pernah muncul. Tidak ada jumlah penyuntingan profil, pekerjaan DNS, atau perubahan rute yang mencapai tahap itu. Bacalah pesannya secara harfiah, karena pesan itu memberi tahu persis objek mana yang diinginkan pemuat.

Dengan cara itu juga Anda memisahkan dua keluarga kegagalan. Objek bersama yang hilang adalah masalah pengemasan pada host Anda, sedangkan penolakan autentikasi adalah keputusan di sisi layanan yang datang jauh lebih lambat dalam urutan.

Keduanya berakhir dengan jendela yang menutup, itulah sebabnya keduanya dicampur dalam laporan bug.

Sakelar globalisasi adalah masalah lain

Galat yang menyebut ICU atau globalisasi berasal dari runtime .NET di bawah sebagian build klien, bukan dari tumpukan TLS. Menyetel sakelar globalisasi invarian mengubah cara runtime itu menangani data budaya, dan itu tidak menyediakan libssl yang hilang. Menerapkannya untuk membungkam galat TLS meninggalkan Anda dengan klien yang mulai lalu gagal di tempat lain.

Simpan keduanya di kotak terpisah: yang satu mengubah perilaku runtime, yang lain memuaskan penaut. Menjangkau yang pertama padahal Anda punya yang kedua adalah kebiasaan yang layak ditinggalkan.

Jika host benar-benar tidak dapat menyediakan runtime yang dibutuhkan, jawaban yang didukung adalah host lain, bukan host yang dimodifikasi.

Mengapa mengimpor OpenSSL lama menjadi bumerang

Menyalin libssl dan libcrypto dari distribusi yang lebih lama ke /usr/lib cukup sering berhasil sehingga menggoda. Itu juga menempatkan pustaka di luar kendali manajer paket, jadi setiap pembaruan keamanan berikutnya entah melewatkannya atau bentrok dengannya. Pada host yang juga menjalankan peramban atau klien SSH, Anda telah mengubah tumpukan kripto untuk program yang tidak pernah memintanya.

Jalur yang didukung adalah sumber paket terdokumentasi dan penyelesaian dependensinya untuk rilis OS serta arsitektur Anda yang tepat. Periksa persyaratan klien AWS untuk Linux dan catatan rilis versi yang Anda pasang, karena matriks dukungan bergeser antarrilis.

Solusi forum lama adalah cuplikan satu pasangan rilis, bukan jaminan kompatibilitas.

Pertahankan definisi layanan dari vendor

Sebagian panduan memberi Anda unit systemd minimal untuk menggantikan unit dari paket. Unit itu biasanya membuang argumen, pengaturan pengerasan, dan integrasi yang ditambahkan vendor kemudian, dan kegagalan yang dihasilkannya muncul di tempat yang tidak akan Anda kaitkan dengan penyuntingan itu.

Jika perlu perubahan, gunakan drop-in sebagai gantinya: berkas penimpaan kecil di direktori .d unit yang menambah atau menggantikan satu direktif, dengan komentar mengapa berkas itu ada dan cara mengembalikannya. Berkas vendor tetap utuh, dan pembaruan paket berikutnya tidak diam-diam membatalkan pekerjaan Anda maupun menggandakannya.

Tulis jalur penimpaan itu di catatan Anda, karena administrator berikutnya akan melihat ke sana lebih dulu.

Buktikan peluncuran sebelum men-debug rute

Buat klien mulai dengan andal memakai profil yang disetujui, lalu masuk, lalu pastikan terowongannya, dan baru setelah itu lihat rute, DNS, dan sumber daya privat. Setiap tahap menghasilkan buktinya sendiri, dan mencampurnya membuat masalah runtime tampak seperti masalah perutean. Jika Anda perlu dukungan vendor, tangkap peristiwa mulai pertama yang berguna alih-alih tangkapan layar jendela yang menutup.

Jangan pernah melampirkan kunci privat atau profil lengkap dengan kredensial tersemat sebagai bahan diagnostik.

Satu pertanyaan menyelesaikan sebagian besar tiket ini: apakah versi klien yang terpasang masih didukung pada rilis OS ini? Jika tidak, perbaikannya adalah pasangan yang didukung, bukan perburuan pustaka lain.