Klien Kerio VPN di Linux: lima pemeriksaan berurutan

Setelah memasang klien Kerio VPN di Linux, tidak ada ikon desktop yang muncul dan jaringan privat tetap di luar jangkauan. Itu bentuk normal klien ini, bukan pemasangan rusak: petunjuk Linux dari GFI menjelaskan konfigurasi lewat baris perintah dan skrip layanan, tanpa GUI sama sekali. Kerjakan pemeriksaan di bawah ini secara berurutan, karena masing-masing membersihkan lapisan yang berbeda. Kegagalan pertama memberi tahu Anda di mana harus berhenti, dan melompat ke depan biasanya berarti membangun ulang paket yang sebenarnya bukan masalah.

Pastikan build cocok dengan mesinnya

Mulailah dari apa yang dpkg pikirkan tentang mesin ini dan untuk apa paket itu dibangun. Pada sistem 64-bit normal, dpkg --print-architecture mencetak amd64, dan halaman vendor mencantumkan paket amd64 di samping paket Debian biasa. Bacalah string rilis pada nama berkas yang benar-benar Anda pasang, bukan menganggap keduanya cocok.

Arsip tahun 2013 yang dibangun untuk i386 tidak menjadi 64-bit hanya karena Anda memberikan --force-architecture saat pemasangan. Memaksakannya memasang biner asing, menyembunyikan kegagalan dependensi di balik peluncur yang tetap berjalan, dan bisa membuat daemon memuat pustaka yang salah. Jika rilis Anda hanya tersedia dalam 32-bit, jalankan di lingkungan 32-bit atau minta pemilik gateway build terbaru.

Periksa juga baris dependensi. dpkg -s kerio-control-vpnclient | grep -i depends menunjukkan apa yang diharapkan paket, dan pin versi yang tidak terpenuhi atau pustaka runtime yang hilang muncul di sini, bukan di log klien.

Konfigurasikan melalui wizard paket

Secara desain klien tidak punya entri di laci aplikasi, jadi ikon yang hilang tidak mengatakan apa pun tentang berhasil atau tidaknya konfigurasi. Buka lagi wizard dengan sudo dpkg-reconfigure kerio-control-vpnclient dan jawab pertanyaannya: endpoint VPN, detail akun, dan sidik jari sertifikat server.

Perlakukan pertanyaan sidik jari sebagai satu-satunya tempat server yang salah bisa menang. Bandingkan nilainya dengan informasi server dari administrator yang menjalankan gateway, bukan dengan apa yang ditampilkan endpoint. Menerima sidik jari yang tidak dapat Anda verifikasi membuat sisa daftar ini hanya hiasan, karena server jahat terlihat identik dengan yang asli begitu pin tersimpan. Jika nilainya tidak bisa dikonfirmasi lewat saluran lain, berhentilah dan bertanya, bahkan ketika terowongan sebenarnya akan tetap naik.

Menjalankan ulang wizard mengubah konfigurasi dan bisa memulai ulang klien, jadi siapkan jalur kedua ke mesin saat sesi yang Anda gunakan bergantung pada VPN itu. Ketik kata sandi pada prompt biasa alih-alih menyematkannya ke perintah yang masuk ke riwayat shell.

Kenali berkas yang ditulis wizard

Konfigurasi berada di /etc/kerio-kvc.conf dan membawa akun serta sidik jari yang dipin. Perlakukan sebagai materi rahasia. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf seharusnya tidak menampilkannya sebagai dapat dibaca semua orang.

Setelah suntingan manual yang diizinkan, muat ulang daemon yang memiliki berkas itu alih-alih memulai ulang tumpukan jaringan: sudo /etc/init.d/kerio-kvc reload. Muat ulang membaca ulang konfigurasi dan menjatuhkan sesi saat ini, jadi itu bukan tanpa efek pada koneksi hidup.

Salin berkas sebelumnya sebelum Anda mengubah apa pun. Jika autentikasi gagal setelah suntingan, memulihkan salinan terakhir yang baik hanya butuh detik dan mengisolasi suntingan dari jaringan, cara termurah untuk mengetahui mana dari keduanya yang bergeser.

Pisahkan sesi hidup dari perilaku saat boot

Skrip layanan mengendalikan koneksi saat ini: sudo /etc/init.d/kerio-kvc stop mengakhiri terowongan sekarang dan start mengembalikannya. Tidak ada perintah yang menentukan apa yang terjadi pada boot berikutnya, dan perbedaan itu penting pada mesin yang Anda kelola dari jarak jauh.

Periksa siapa yang memiliki startup sebelum menghapus tautan atau menyamarkan apa pun. Paket bisa memasang skrip init sendiri, membuat unit, atau keduanya, dan menonaktifkan nama yang salah membuat klien kembali setelah reboot. Periksa systemctl status kerio-kvc terhadap nama yang dipakai dokumentasi paket, lalu nonaktifkan jalur yang benar-benar dibaca proses boot.

Jangan mengganti unit OpenVPN hanya karena konfigurasinya terlihat mirip. Klien ini berbicara dengan protokolnya sendiri ke gateway Kerio, jadi daemon lain yang diarahkan ke berkas yang sama tidak akan terautentikasi, dan kegagalan tambahan itu membuat bukti lebih sulit dibaca. Klien GFI untuk Linux juga hanya memegang satu koneksi VPN pada satu waktu; batas itu berlaku untuk klien, bukan untuk kapasitas pengguna gateway.

Baca log, lalu verifikasi sumber dayanya

Tiga berkas di /var/log/kerio-kvc menceritakan kisah daemon: init.log untuk peristiwa siklus hidup, error.log untuk kegagalan kritis, dan debug.log untuk detail. Bacalah kutipan terkecil yang menjawab pertanyaan Anda, dan hapus endpoint serta nama pengguna sebelum menempelnya di mana pun. Celah di init.log sekitar waktu Anda menjalankan wizard memberi tahu bahwa daemon tidak pernah dimulai ulang.

Paket yang valid, daemon yang berjalan, dan sumber daya yang terjangkau adalah tiga hasil terpisah, dan daftar ini selesai hanya bila ketiganya terpenuhi. Setelah perubahan yang disetujui, minta host yang hanya ada di balik gateway, lalu buka layanan biasa di atasnya. Jika terowongan naik tetapi sumber dayanya tidak, sisa kesalahan ada di rute gateway atau aturan firewall, bukan di klien yang baru saja Anda konfigurasi ulang.

Catat keadaan saat Anda berhenti: rilis paket, arsitektur, apakah sidik jari diverifikasi lewat saluran lain, dan muat ulang atau restart mana yang Anda jalankan. Catatan itulah yang membuat pemeriksaan pertama orang berikutnya murah.