Klien Kerio VPN di Linux: lima pemeriksaan mengikut urutan

Selepas memasang klien Kerio VPN di Linux, tiada ikon desktop muncul dan rangkaian peribadi kekal di luar jangkauan. Itu bentuk biasa klien ini, bukan pemasangan yang rosak: arahan Linux GFI menerangkan konfigurasi melalui baris perintah dan skrip perkhidmatan, tanpa sebarang GUI. Lakukan pemeriksaan di bawah mengikut urutan, kerana setiap satu menanggalkan lapisan berbeza. Kegagalan pertama memberitahu anda di mana perlu berhenti, dan melompat ke hadapan biasanya bermakna membina semula pakej yang tidak pernah menjadi masalah.

Pastikan binaan sepadan dengan mesin

Mulakan dengan apa yang dpkg fikirkan tentang mesin dan untuk apa pakej itu dibina. Pada sistem 64-bit biasa, dpkg --print-architecture mencetak amd64, dan halaman vendor menyenaraikan pakej amd64 di sebelah pakej Debian biasa. Baca rentetan keluaran dalam nama fail yang benar-benar anda pasang, bukan menganggap kedua-duanya sepadan.

Arkib tahun 2013 yang dibina untuk i386 tidak menjadi 64-bit semata-mata kerana anda menghantar --force-architecture semasa pemasangan. Memaksanya memasang binari asing, menyembunyikan kegagalan kebergantungan di sebalik pelancar yang masih bermula, dan boleh menyebabkan daemon memuatkan pustaka yang salah. Jika keluaran anda hanya tersedia dalam 32-bit, jalankannya dalam persekitaran 32-bit atau minta pemilik gateway membina versi terkini.

Periksa juga baris kebergantungan. dpkg -s kerio-control-vpnclient | grep -i depends menunjukkan apa yang dijangkakan pakej, dan pin versi yang tidak dipenuhi atau pustaka masa jalan yang hilang muncul di sini, bukan dalam log klien.

Konfigurasikannya melalui wizard pakej

Secara reka bentuk klien tiada entri dalam laci aplikasi, jadi ikon yang hilang tidak memberitahu apa-apa tentang sama ada konfigurasi berjaya. Buka semula wizard dengan sudo dpkg-reconfigure kerio-control-vpnclient dan jawab soalnya: titik akhir VPN, butiran akaun dan cap jari sijil pelayan.

Anggap soalan cap jari sebagai satu-satunya tempat pelayan yang salah boleh menang. Bandingkan nilai dengan maklumat pelayan daripada pentadbir yang mengendalikan gateway, bukan dengan apa yang ditunjukkan oleh titik akhir. Menerima cap jari yang tidak dapat anda sahkan menjadikan seluruh senarai ini hiasan, kerana pelayan bermusuhan kelihatan sama dengan yang asli sebaik sahaja pin disimpan. Jika nilai itu tidak dapat disahkan melalui saluran lain, berhenti dan tanya, walaupun terowong akan naik juga.

Menjalankan semula wizard mengubah konfigurasi dan boleh memulakan semula klien, jadi sediakan laluan kedua ke mesin apabila sesi yang anda gunakan bergantung pada VPN itu. Taip kata laluan pada gesaan biasa dan bukan membenamkannya dalam arahan yang akan masuk ke sejarah shell.

Kenali fail yang ditulis oleh wizard

Konfigurasi berada di /etc/kerio-kvc.conf dan membawa akaun serta cap jari yang dipin. Anggapnya sebagai bahan rahsia. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf tidak sepatutnya menunjukkannya sebagai boleh dibaca oleh semua.

Selepas suntingan manual yang dibenarkan, muat semula daemon yang memiliki fail itu dan bukan memulakan semula tindanan rangkaian: sudo /etc/init.d/kerio-kvc reload. Muat semula membaca semula konfigurasi dan menggugurkan sesi semasa, jadi ia bukan tindakan tanpa kesan pada sambungan hidup.

Salin fail sebelumnya sebelum anda mengubah apa-apa. Jika pengesahan gagal selepas suntingan, memulihkan salinan terakhir yang berfungsi mengambil masa beberapa saat dan mengasingkan suntingan daripada rangkaian, iaitu cara paling murah untuk mengetahui yang mana antara keduanya bergerak.

Asingkan sesi hidup daripada tingkah laku semasa boot

Skrip perkhidmatan mengawal sambungan semasa: sudo /etc/init.d/kerio-kvc stop menamatkan terowong sekarang dan start membawanya kembali. Tiada arahan yang menentukan apa yang berlaku pada boot seterusnya, dan perbezaan itu penting pada mesin yang anda urus dari jauh.

Periksa siapa yang memiliki permulaan automatik sebelum membuang pautan atau menyamarkan apa-apa. Pakej mungkin memasang skrip init sendiri, menjana unit, atau kedua-duanya, dan melumpuhkan nama yang salah membuatkan klien kembali selepas but semula. Periksa systemctl status kerio-kvc terhadap nama yang digunakan oleh dokumentasi pakej, kemudian lumpuhkan laluan yang benar-benar dibaca oleh proses boot.

Jangan ganti unit OpenVPN hanya kerana konfigurasi kelihatan serupa. Klien ini bercakap protokolnya sendiri dengan gateway Kerio, jadi daemon lain yang menghala ke fail yang sama tidak akan disahkan, dan kegagalan tambahan itu menjadikan bukti lebih sukar dibaca. Klien GFI untuk Linux juga hanya memegang satu sambungan VPN pada satu masa; had itu terpakai kepada klien, bukan kepada kapasiti pengguna gateway.

Baca log, kemudian sahkan sumber itu

Tiga fail di bawah /var/log/kerio-kvc menceritakan kisah daemon: init.log untuk peristiwa kitaran hayat, error.log untuk kegagalan kritikal dan debug.log untuk perincian. Baca petikan terkecil yang menjawab soalan anda, dan buang titik akhir serta nama pengguna sebelum menampalnya di mana-mana. Jurang dalam init.log sekitar masa anda menjalankan wizard memberitahu bahawa daemon tidak pernah dimulakan semula.

Pakej yang sah, daemon yang berjalan dan sumber yang boleh dicapai ialah tiga hasil berasingan, dan senarai ini selesai hanya apabila ketiga-tiganya benar. Selepas perubahan yang diluluskan, minta hos yang hanya wujud di sebalik gateway, kemudian buka perkhidmatan biasa padanya. Jika terowong naik tetapi sumbernya tidak, kesalahan yang tinggal terletak pada laluan gateway atau peraturan firewall, bukan pada klien yang baru anda konfigurasikan semula.

Catat keadaan anda berakhir: keluaran pakej, seni bina, sama ada cap jari disahkan melalui saluran lain, dan muat semula atau permulaan semula yang anda jalankan. Catatan itulah yang menjadikan pemeriksaan pertama orang seterusnya murah.