OpenConnect vpnc-script: wéi eng Datei gëtt ausgefouert?

OpenConnect kann den Tunnelhandshake fäerdeg maachen an Iech trotzdeem ouni Trajet zum private Subnetz loossen, well de Client an den Helfer, deen den lokalen Netzwierzoustand ännert, zwee verschidden Programmer sinn. D'Authentifikatioun beweisegt, datt de Gateway d'Sessioun akzeptéiert huet; si beweisegt näischt doriwwer, wéi eng Schnëttstell, wéi eng Trajets oder wéi eng Resolver-Astellungen duerno installéiert goufen. Déi meescht verwiesselt Berichter entsti doraus, datt den Helfer duerch eng Kopie aus enger aler Äntwert ersat gëtt, wat d'Verhalen fir all Verbindung um Apparat ännert. Fannt den Helfer, deen de lafende Client tatsächlech oprufft, ier Dir eppes dorun ännert.

Zwee Programmer, zwou Verantwortungen

De Client besëtzt den Transport, d'Authentifikatioun an den Tunnelgerät. En separate Helfer besëtzt dat, wat um lokale System geschitt, soubal den Tunnel existéiert: d'Adresséierung op der Schnëttstell, d'Trajets fir d'Subnetzer, déi de Gateway annoncéiert huet, an d'Resolver-Konfiguratioun. Den Dokumentatioun vum OpenConnect-Helfer beschreift dës Trennung an d'Ëmfeld, dat den Helfer kritt. Den Ënnerscheed ass bei engem Feeler wichteg, well e refuséierte Passwuert an en fehlenden Trajet net déiselwecht Evenement sinn, och wann den Desktop ee Dialog fir béides weist.

Dës Trennung am Kapp ze behalen erkläert och, firwat eng Verbindung Erfolleg melle kann, wärend privat Nimm nach ëmmer net opgeléist ginn. Den Tunnel steet an deenen zwee Fäll, an nëmmen d'Etapp vun der lokaler Integratioun ass anescht.

Fannt den Helfer, deen de lafende Client benotzt

De Pad gëtt beim Bau vum Paket festgeluecht a kann bei all Opruff iwwerschriwwe ginn, dofir huet d'Datei, déi Dir aus enger anerer Distributioun kennt, vläicht näischt mat dëser Verbindung ze dinn. Frot de lafende Prozess amplaz vun der Dokumentatioun, déi Dir zoufälleg op hutt.

openconnect --version
ps -o args= -C openconnect
dpkg -L openconnect | grep -i script
ls -l /etc/vpnc/ 2>/dev/null

Wann d'Prozesslinn en --script Argument dréit, gewënnt déi Datei géint de kompiléierten Standard. Méi al Päde wéi /etc/vpnc/vpnc-script kënnen existéieren an trotzdeem onbenotzt bleiwen, dofir ännert hiert Läschen oder Änneren näischt op engem neiere Build. Kuckt och op den Ännerungsdatum, well en Helfer, deen zënter Joren keen ugefaang huet, en staarkt Zeeche ass, datt dee matgelieferte Standard d'Aarbecht mécht.

D'NetworkManager-Integratioun ass en drëtten Eigentümer, mat sengem eigenen Helfer a senge eigene Profilastellungen. En zweeten Trajet- oder Resolver-Skript iwwer dës Integratioun ze stapelen, verduebelt d'Trajets an hannerléisst en Resolver, deen zwee Programmer behaapten ze geréieren. Wielt een Eigentümer pro Verbindung a schalt deen aneren aus, ier Dir testt.

Liest déi éischt feelgeschloen Operatioun, net déi lescht Warnung

D'Schnëttstell-Konfiguratioun, d'Installatioun vun den Trajets, d'Wiel vum Resolver an d'Botze vum ale Zoustand sinn separat Schrëtt, an d'Warnung, déi als lescht gedréckt gëtt, ass dacks eng Botz-Beschwéier an net de Feeler, deen d'Verbindung gebrach huet. Liest no uewe bis zur éischter konkreter Operatioun, déi feelgeschloen ass. E Helferfeeler, deen eng Datei oder eng Adress nennt, ass méi wäert wéi zéng Zeile Botz-Kaméidi.

Vergläicht dat beabsichtegt lokal Resultat mat deem observéierten: den Tunnelgerät existéiert, en Trajet zu enger bekannter privater Adress geet duerch et, an de Resolver äntwert fir en privaten Numm. En Helfer, deen déi éischt zwee packt an um drëtten scheitert, weist op d'Resolver-Politik an net op d'Routing. En Helfer, deen den Apparat guer net konfiguréiert, gouf wahrscheinlech ni ausgefouert, an dat ass eng Fro vun de Permessiounen an net vum Netz. Bestätegt de Ausféierungsbit an de Servicekont, ier Dir eng Logik nei schreift.

Verifizéiert Verbannen, Neiverbannen an Trennen

D'Astellung ass nëmmen d'Halschent vum Kontrakt, well deeselwechten Helfer den Zoustand, deen en besëtzt, restauréiere oder ewechhuele muss, wann den Tunnel zougeet. En Helfer, deen Trajets derbäisetzt an se ni ewechhëlt, hannerléisst dem Apparat en ale Pad, deen d'Sessioun iwwerlieft.

ip -brief address show tun0
ip route get 10.24.8.15
resolvectl status tun0
journalctl -u NetworkManager -b --no-pager | grep -i -E 'vpnc|script'

Fouert déi éischt dräi aus, wärend Dir verbonnen sidd, trennt d'Verbindung, a fouert se dann nach eng Kéier aus a bestätegt, datt den Trajet an den Resolver-Antrag fort sinn. Déi véiert Linn weist, ob den Helfer iwwerhaapt opgeruff gouf a wéi en Ausféierungspad de Service benotzt huet. Hält dëst Paar Ausgaben am Ticket fest, well grad dat Virdrun-an-Duerno e Botz-Fehler evident mécht.

Hält den Helfer gepackt an duerch de Servicekont ausféierbar, well e Skript, dat an Ärer Shell leeft, kann ënner enger limitéierter Servicepolitik trotzdeem refuséiert ginn. Wann eng Upassung wierklech néideg ass, dokumentéiert hiren Zweck an hiren Eigentümer a vergläicht se bei all Upgrade mat der gepackter Versioun. E onerklärten Fork vun engem Helfer ass eng vun de wéinege Saachen, déi eng funktionéierend Verbindung e Joer méi spéit kënne scheitere loossen.