Kerio VPN-klient på Linux: fem kontroller i rekkefølge

Når du installerer Kerio VPN-klienten på Linux, vises det ingen skrivebordsikon, og det private nettverket forblir utenfor rekkevidde. Det er denne klientens normale form og ikke en ødelagt installasjon: GFIs Linux-veiledning beskriver konfigurering på kommandolinjen og et tjenesteskript, helt uten GUI. Gå gjennom kontrollene nedenfor i rekkefølge, fordi hver av dem fjerner et annet lag. Den første feilen forteller deg hvor du skal stoppe, og å hoppe fremover betyr som regel å bygge på nytt en pakke som aldri var problemet.

Bekreft at bygget passer til maskinen

Start med hva dpkg mener maskinen er, og hva pakken ble bygget for. På et vanlig 64-bits system dpkg --print-architecture skriver ut amd64, og leverandørens side lister en amd64-pakke ved siden av den vanlige Debian-pakken. Les utgivelsesstrengen i filnavnet du faktisk installerte, i stedet for å anta at de to stemmer overens.

Et arkiv fra 2013 bygget for i386 blir ikke 64-bits bare fordi du sendte --force-architecture ved installasjonen. Å tvinge det installerer fremmede binærfiler, skjuler en avhengighetsfeil bak en oppstarter som fortsatt starter, og kan få daemonen til å laste feil biblioteker. Hvis utgivelsen din bare finnes som 32-bit, kjør den i et 32-bits miljø eller be eieren av gatewayen om et oppdatert bygg.

Kontroller også avhengighetslinjen. dpkg -s kerio-control-vpnclient | grep -i depends viser hva pakken forventer, og en uoppfylt versjonsbinding eller et manglende kjøretidsbibliotek dukker opp her, ikke i klientloggen.

Konfigurer den gjennom pakkens veiviser

Etter design har klienten ingen oppføring i programskuffen, så et manglende ikon sier ingenting om hvorvidt konfigurasjonen lyktes. Åpne veiviseren på nytt med sudo dpkg-reconfigure kerio-control-vpnclient og svar på spørsmålene: VPN-endepunkt, kontoopplysninger og servercertifikatets fingeravtrykk.

Behandle fingeravtrykksspørsmålet som det ene stedet der en feil server kan vinne. Sammenlign verdien med serveropplysningene fra administratoren som driver gatewayen, ikke med det endepunktet viser. Å godta et fingeravtrykk du ikke kan verifisere gjør resten av denne listen til dekorasjon, fordi en fiendtlig server ser identisk ut med den ekte når først pinnen er lagret. Hvis verdien ikke kan bekreftes gjennom en annen kanal, stopp og spør, selv når tunnelen ellers ville kommet opp.

Å kjøre veiviseren på nytt endrer konfigurasjonen og kan starte klienten på nytt, så hold en andre vei inn til maskinen når økten du arbeider over avhenger av den VPN-en. Skriv passordet ved den vanlige ledeteksten i stedet for å bygge det inn i en kommando som havner i skallhistorikken.

Kjenn filen veiviseren skriver

Konfigurasjonen bor i /etc/kerio-kvc.conf og bærer både kontoen og det festede fingeravtrykket. Behandle den som hemmelig materiale. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf bør ikke vise den som lesbar for alle.

Etter en autorisert manuell endring, last inn daemonen som eier filen på nytt i stedet for å starte nettverksstakken på nytt: sudo /etc/init.d/kerio-kvc reload. En ny innlasting leser konfigurasjonen på nytt og slipper den gjeldende økten, så det er ikke en ikke-handling på en levende tilkobling.

Kopier den forrige filen før du endrer noe. Hvis autentiseringen feiler etter en endring, tar det sekunder å gjenopprette den siste fungerende kopien, og det isolerer endringen fra nettverket, som er den billigste måten å finne ut hvilken av de to som flyttet seg.

Skill den levende økten fra oppførselen ved oppstart

Tjenesteskriptet styrer den gjeldende tilkoblingen: sudo /etc/init.d/kerio-kvc stop avslutter tunnelen nå, og start bringer den tilbake. Ingen av kommandoene avgjør hva som skjer ved neste oppstart, og den forskjellen betyr noe på en maskin du administrerer eksternt.

Undersøk hvem som eier oppstarten før du fjerner lenker eller maskerer noe. Pakken kan installere sitt eget init-skript, generere en unit eller begge deler, og deaktivering av feil navn får klienten tilbake etter en omstart. Kontroller systemctl status kerio-kvc mot navnet pakkedokumentasjonen bruker, og deaktiver deretter stien oppstartsprosessen faktisk leser.

Ikke bytt ut en OpenVPN-unit fordi konfigurasjonen ser lik ut. Denne klienten snakker sin egen protokoll med Kerio-gatewayen, så en annen daemon rettet mot samme fil vil ikke autentisere seg, og den ekstra feilen gjør bevisene vanskeligere å lese. GFIs Linux-klient holder også bare én VPN-tilkobling om gangen; den grensen gjelder for klienten, ikke for gatewayens brukerkapasitet.

Les loggene, og verifiser deretter ressursen

Tre filer under /var/log/kerio-kvc forteller daemonens historie: init.log for livssyklushendelser, error.log for kritiske feil og debug.log for detaljer. Les det minste utdraget som svarer på spørsmålet ditt, og fjern endepunkter og brukernavn før du limer det inn noe sted. Et hull i init.log rundt tidspunktet du kjørte veiviseren forteller deg at daemonen aldri ble startet på nytt.

En gyldig pakke, en kjørende daemon og en tilgjengelig ressurs er tre separate resultater, og listen er først ferdig når alle tre holder. Etter en godkjent endring, be om en vert som bare finnes bak gatewayen, og åpne deretter en vanlig tjeneste på den. Hvis tunnelen er oppe og ressursen ikke, sitter den gjenværende feilen i en gateway-rute eller brannmurregel, ikke i klienten du nettopp konfigurerte på nytt.

Noter tilstanden du endte i: pakkeutgivelse, arkitektur, om fingeravtrykket ble verifisert gjennom en annen kanal, og hvilken ny innlasting eller omstart du kjørte. Den notatet er det som gjør neste persons første kontroll billig.