OpenVPN: lokal Bind schléit beim Start fehl — waarden oder nei probéieren

Fir en OpenVPN-Server, deen beim Start net ugeet, ginn zwou Léisungen ugebueden: op d'Adress waarden oder de Service sou laang nei probéiere loossen, bis d'Bind geléngt. Béid behiewen déi selwecht Symptomer mat ënnerschiddlechem feelerhaften Verhalen. Waarde kodéiert eng spezifesch Viraussetzung a schléit haart fehl, wann se feelt; nei probéieren verstoppt d'Viraussetzung a probéiert weider. Wéi eng an Är Eenheet gehéiert, hänkt dovun of, ob déi Adress eng entworf Ofhängegkeet oder en Zoufall vun Timing ass.

Béid sinn besser wéi e feste Schlof, deen op näischt waart a och net mellt, op wat hie gewaart huet.

Wat d'Optioun local tatsächlech verlaangt

local nennt d'Adress, un déi den Daemon säi Socket bindet, a Binden un eng Adress, déi nach net existéiert, schléit direkt mat engem Feeler iwwer déi ugefrot Adress fehl. Wann d'Optioun feelt, lauschtert den Daemon op allen Adressen, dofir funktionéiert deeselwechte Profil op enger Maschinn, där hir Interface nach net uewen ass: hie lauschtert iwwerall amplaz op der eenzeger Adress, déi Dir genannt hutt. Dee Ënnerscheed ass de ganzen Ausfall, an hie bleift onsichtbar bis zu engem Neistart.

D'Ufuerderung ass net, datt d'Interface an engem allgemenge Sënn uewen ass. D'Adress muss am Ablack vun der Bind der richteger Interface zougewisen sinn, an et muss déi ënnerleeënd Interface sinn an net en Tunnel, deen deeselwechten Daemon méi spéit géif uleeën. Eng Kontroll, déi Minutten no der Umeldung gemaach gëtt, beweist näischt iwwer de Startoflaf.

Op d'Adress waarden oder d'Bind nei probéieren

Waarde bedeit en ExecStartPre, deen ëmfrot bis d'Adress erschéngt, mat enger begrenzter Zuel u Versich an engem Net-Null-Exit, wann d'Zäit ofleeft. Nei probéieren heescht den Haaptprozess feelen ze loossen an de Service-Manager ze froen, en nach eng Kéier ze starten, zum Beispill Restart=on-failure mat RestartSec=5. Dat éischt mellt eng feelend Viraussetzung als feelgeschloen Eenheet, wärend dat zweet se als eng Rei Neistarts mellt, déi schlussendlech ophält, wat am Journal méi kamoud ass awer eng Adress iwwerlieft, déi aus Grënn ze spéit kënnt, déi Dir net kënnt viraussoen.

Bevirzugt d'Waarde wann d'Adress eng entworf Ofhängegkeet ass, an d'Neiprobéieren wann d'Adress normalerweis erschéngt awer hire Timing variéiert. Béid ze kombinéieren ass raisonnabel: eng begrenzt Waarde deckt de gewéinleche Fall an eng Neistartpolitik d'Ausnam. Wat keng vun deenen zwou sollte maachen ass ëmmer lafen, well eng Eenheet déi onendlech nei probéiert eng falsch Konfiguratioun verstoppt amplaz se ze mellen.

Firwat network-online.target net duergeet

network-online.target versprécht wat déi aktiv Netzwierkimplementatioun ënner online versteet, an net méi. Mat systemd-networkd entscheet systemd-networkd-wait-online, wéini dëst Zil erreecht ass, an seng Standardnotioun vun online kann erfëllt sinn ier Är spezifesch Adress existéiert. Ënner NetworkManager setzt de wait-online-Service seng eege Reegelen duerch. Nom Zil ze bestellen ass eng gesond Basis, keng Garantie, datt eng Adress, eng DNS-Äntwert oder en entfernte Partner prett ass.

Déiselwecht Begrënnung schléisst déi üblech Alternativen aus. En Desktop-Autostart-Anträg waart op eng Benotzersitzung, déi op engem Server vläicht ni opgeet, an en verzögerte cron-Befehl füügt vergaangen Zäit derbäi, ouni d'Ressource ze nennen, op déi hie gehofft huet. Béid kënnen iwwer Méint erfollegräich ausgesinn an dann bei deem eenzegen Start feelschloen, deen zielt.

Kontrolléiert d'Bind no engem kale Start

Verifizéiert mat engem richtegen kale Start an net mat engem Service-Neistart, well en Neistart eng Adress iwwerhëlt, déi de Startoflaf huet misse schafen. Nom Start weist ss -lntp oder ss -lunp déi lokal Adress, un déi all Lauschterer tatsächlech gebonnen huet, an journalctl -b -u openvpn-server@server weist, ob den éischten Versuch feelgeschloen ass. Vergläicht déi gebonnen Adress mat där am Profil a widderhëlt dann de Verglach no enger Netzwierkverbindung.

Wann de Profil ni eng fest Adress gebraucht huet, ass d'Ewechhuele vun local eng legitim Vereinfachung, awer maacht eng Sécherheetsentscheedung doraus an net eng Gewunnecht bei der Feelersich.

D'Erweidere vum Lauschterer ännert, wien en erreeche kann, also kombinéiert déi Ännerung mat der Firewallpolitik, déi en hätt missen aschränken. En Service, deen op all Interface zouverlässeg start, huet dat ursprénglecht Problem net geléist; hien huet d'Problem op de Rand vum Netzwierk verréckelt.