Kerio Linux-ზე: მივცეთ kvnet-ს ის MAC, რომელსაც სერვერი ელოდება

სამი რამ უნდა დაემთხვეს, სანამ Kerio-ს გვირაბი ტრაფიკს გაატარებს: მისამართი kvnet ინტერფეისზე, კლიენტის მიერ ჩაწერილი მნიშვნელობა და ის, რასაც სერვერის პოლიტიკა ან DHCP ელოდება. როცა ისინი არ ემთხვევიან, გვირაბი მაინც გადის აუთენტიფიკაციას და მაინც ადის, და სწორედ ეს ხდის ჩავარდნას დამაბნეველს. ინტერფეისი ყოველი კავშირისთვის იქმნება, ამიტომ ხელით დაყენებული მისამართი მხოლოდ იმ სესიას ეკუთვნის და სხვა არაფერს. ეს არის პრობლემის ფორმა, ხოლო გადაწყვეტა ჰუკია და არა კონფიგურაციის ფაილი. დანარჩენი არის, საიდან წავიკითხოთ მნიშვნელობა და სად გამოვიყენოთ.

რატომ ბრუნდება მისამართი გამუდმებით

kvnet ვირტუალური ადაპტერია, რომელსაც კლიენტი კავშირის დაწყებისას ქმნის და დასრულებისას შლის. ამიტომ ხელით გაშვებული ip link set ზუსტად იმდენ ხანს ძლებს, რამდენ ხანსაც ის სესია, რომელზეც გამოიყენეს, და შემდეგი კავშირი იმით იწყება, რასაც კლიენტი ანიჭებს. მანქანაზე, სადაც კლიენტი ვერ ახერხებს მოსალოდნელი მისამართის გამოყენებას, ყოველი ხელახალი დაკავშირება იმავე შეუსაბამობას აბრუნებს, და იჯარის ან წვდომის წესი მოწყობილობას კვლავ უარყოფს.

ეს ნიმუში თავისთავად დიაგნოსტიკურია. გვირაბი, რომელიც ერთ სესიაში მუშაობს და შემდეგში ვარდება, სერტიფიკატების პრობლემა არ არის, რადგან სერტიფიკატები კავშირებს შორის არ იცვლება.

წაიკითხეთ მნიშვნელობა კლიენტიდან და არა ინტერფეისიდან

Linux-ის კლიენტი მოლაპარაკების დეტალებს თავის გამართვის ჟურნალში წერს, და მისამართი, რომლის გამოყენებასაც აპირებს, იქ ჩნდება როგორც კავშირის მიმდევრობის ბოლო მისამართის ფორმის ნიშანი. შეადარეთ ის იმას, რასაც ბირთვი რეალურად ინახავს, რაც ერთი readlink-ის მანძილზეა: cat /sys/class/net/kvnet/address.

თუ ორივე განსხვავდება, კლიენტმა იცოდა სწორი მნიშვნელობა და ვერ გამოიყენა ის, და ჰუკი, რომელიც მას ინტერფეისის არსებობის შემდეგ იყენებს, ამ ნაპრალს კეტავს. თუ ჟურნალში საერთოდ არ არის მისამართი, პრობლემა უფრო ადრეა და ეკუთვნის კლიენტის ვერსიას ან სერვერის პროფილს და არა სკრიპტს.

გამოიყენეთ ის ინტერფეისის არსებობის შემდეგ

NetworkManager-ის მომხმარებლებს შეუძლიათ სკრიპტი მის დისპეტჩერის საქაღალდეში ჩადონ და იმოქმედონ მხოლოდ მაშინ, როცა VPN ინტერფეისი ადის. systemd-ით მართული კლიენტი მეტ ყურადღებას მოითხოვს: სერვისის გაშვებისას მოქმედი drop-in ჩვეულებრივ ადრე აქტიურდება, ვიდრე ადაპტერი არსებობს, ამიტომ ჰუკმა ინტერფეისს უნდა დაელოდოს და არა ის ჩათვალოს. მაშინ დააყენეთ მისამართი, და თუ ბირთვი უარყოფს, სანამ ბმული აწეულია, ჩამოწიეთ ის, დააყენეთ მისამართი და ისევ ასწიეთ. წაიკითხეთ ამოღებული ნიშანი უკან MAC-ის ნიმუშით, სანამ გადასცემთ ip link-ს, რათა მოულოდნელი ჟურნალის სტრიქონი არგუმენტად არ იქცეს.

ყველაფერი, რაც root-ად მუშაობს კლიენტის ჟურნალიდან, ვიწრო საკუთრებას იმსახურებს: root-ის საკუთრებაში არსებული ფაილი, სხვებისთვის ჩაუწერელი, და არავითარი shell-ის ინტერპოლაცია გამოწმებული მისამართის მიღმა. შეინახეთ ნიმუშის შემოწმება სკრიპტის შიგნით. ნუ მისცემთ ჟურნალის შიგთავსს უფლებას გადაწყვიტოს, რომელი ბრძანება შესრულდება.

შეამოწმეთ იჯარა და არა ბმული

ip -4 -o addr show dev kvnet უნდა აჩვენებდეს მისამართს მოსალოდნელ დიაპაზონში, ip neigh show dev kvnet უნდა აჩვენებდეს კარიბჭეს, და VPN-ის უკან მყოფმა ერთმა სერვისმა უნდა უპასუხოს. შემდეგ ერთხელ გათიშეთ და ხელახლა დაუკავშირდით; თუ მისამართი ბრუნდება, ჰუკი არასწორ მოვლენაზე მუშაობს ან საერთოდ არ მუშაობს.

ინტერფეისი, რომელიც სწორი მისამართით ჩნდება და არასოდეს იღებს იჯარას, სერვერის მხარეს მიუთითებს. ეს სხვა შემოწმებაა და ჩვეულებრივ სხვა გუნდი. სანამ ჰუკს კვლავ შეასწორებთ, დაადასტურეთ, რომ ანგარიში დაშვებულია და პულს ჯერ კიდევ აქვს მისამართი.

გადახედეთ გვერდის ავლის ხერხს განახლების შემდეგ

კლიენტის ის ნაგებობა, რომელიც მისამართს სწორად აყენებს, თქვენს ჰუკს მოძველებული მნიშვნელობის გამოყენებაში ტოვებს, რაც ახალი ხარვეზია, რომელიც შესწორებამ შემოიტანა. ასევე არასოდეს დააკოპიროთ MAC სხვა მანქანიდან ან ფორუმის პოსტიდან; გამოიყენეთ მნიშვნელობა, რომელსაც ეს კლიენტი ამ ანგარიშისთვის წერს, და ჩაწერეთ თარიღი, როცა შეამოწმეთ ის.

შეინახეთ სკრიპტი საკმარისად მოკლე, რომ ერთ სხდომაში წაიკითხოს. ჟურნალების ანალიზზე დამყარებული გვერდის ავლის ხერხები ბუნებით დროებითია. რჩება ის, რასაც მომავალი მკითხველი საწყისი თემის გარეშე გაიგებს.