Kerio VPN-client op Linux: vijf controles op volgorde

Na het installeren van de Kerio VPN-client op Linux verschijnt er geen bureaubladpictogram en blijft het privénetwerk buiten bereik. Dat is de normale vorm van deze client en geen kapotte installatie: de Linux-instructies van GFI beschrijven configuratie via de opdrachtregel en een servicescript, zonder enige GUI. Werk de controles hieronder op volgorde af, want elk ervan verwijdert een andere laag. De eerste fout zegt waar u moet stoppen, en vooruit springen betekent meestal een pakket opnieuw bouwen dat nooit het probleem was.

Controleer of de build bij de machine past

Begin met wat dpkg van de machine vindt en waarvoor het pakket is gebouwd. Op een normaal 64-bits systeem dpkg --print-architecture drukt amd64 af, en de leverancierspagina vermeldt een amd64-pakket naast het gewone Debian-pakket. Lees de release-string in de bestandsnaam die u daadwerkelijk hebt geïnstalleerd, in plaats van aan te nemen dat beide overeenkomen.

Een archief uit 2013 dat voor i386 is gebouwd, wordt niet 64-bits alleen omdat u --force-architecture hebt doorgegeven. Forceren installeert vreemde binaire bestanden, verbergt een afhankelijkheidsfout achter een starter die toch start, en kan de daemon de verkeerde bibliotheken laten laden. Als uw release alleen 32-bits is, voer hem dan uit in een 32-bits omgeving of vraag de eigenaar van de gateway om een actuele build.

Controleer ook de afhankelijkheidsregel. dpkg -s kerio-control-vpnclient | grep -i depends laat zien wat het pakket verwacht, en een niet-vervulde versiebeperking of een ontbrekende runtime-bibliotheek komt hier naar voren, niet in het logboek van de client.

Configureer hem met de wizard van het pakket

De client heeft ontwerptechnisch geen item in de applicatielade, dus een ontbrekend pictogram zegt niets over het slagen van de configuratie. Open de wizard opnieuw met sudo dpkg-reconfigure kerio-control-vpnclient en beantwoord de vragen: VPN-eindpunt, accountgegevens en de vingerafdruk van het servercertificaat.

Behandel de vingerafdrukvraag als de enige plek waar een verkeerde server kan winnen. Vergelijk de waarde met de serverinformatie van de beheerder die de gateway draait, niet met wat het eindpunt toont. Een vingerafdruk accepteren die u niet kunt verifiëren maakt de rest van deze lijst tot decoratie, want een vijandige server ziet er identiek uit als de echte zodra de pin is opgeslagen. Als de waarde niet via een ander kanaal kan worden bevestigd, stop dan en vraag, ook wanneer de tunnel anders wel zou opkomen.

De wizard opnieuw uitvoeren verandert de configuratie en kan de client herstarten, dus houd een tweede weg naar de machine wanneer de sessie waarover u werkt van die VPN afhangt. Typ het wachtwoord bij de normale prompt in plaats van het in een opdracht te verwerken die in de shell-geschiedenis belandt.

Ken het bestand dat de wizard schrijft

De configuratie staat in /etc/kerio-kvc.conf en bevat zowel het account als de vastgezette vingerafdruk. Behandel het als geheim materiaal. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf zou het niet als voor iedereen leesbaar moeten tonen.

Na een geautoriseerde handmatige wijziging laadt u de daemon die het bestand bezit opnieuw, in plaats van de netwerkstack te herstarten: sudo /etc/init.d/kerio-kvc reload. Een herlaad leest de configuratie opnieuw en gooit de huidige sessie weg, dus het is geen nietsdoen op een live verbinding.

Kopieer het vorige bestand voordat u iets wijzigt. Als de authenticatie na een wijziging mislukt, kost het herstellen van de laatste werkende kopie seconden en isoleert het de wijziging van het netwerk, wat de goedkoopste manier is om erachter te komen welke van de twee is verschoven.

Scheid de live sessie van het opstartgedrag

Het servicescript beheert de huidige verbinding: sudo /etc/init.d/kerio-kvc stop beëindigt de tunnel nu en start brengt hem terug. Geen van beide opdrachten bepaalt wat er bij de volgende opstart gebeurt, en dat verschil is belangrijk op een machine die u op afstand beheert.

Controleer wie de opstart bezit voordat u koppelingen verwijdert of iets maskeert. Het pakket kan zijn eigen init-script installeren, een unit genereren of beide, en het verkeerde naam uitschakelen laat de client na een herstart terugkomen. Controleer systemctl status kerio-kvc tegen de naam die de pakketdocumentatie gebruikt, en schakel dan het pad uit dat het opstartproces werkelijk leest.

Vervang geen OpenVPN-unit omdat de configuratie er vergelijkbaar uitziet. Deze client spreekt zijn eigen protocol met de Kerio-gateway, dus een andere daemon die naar hetzelfde bestand wijst, authenticeert niet, en de extra fout maakt het bewijs lastiger te lezen. De Linux-client van GFI houdt ook maar één VPN-verbinding tegelijk; die grens geldt voor de client, niet voor de gebruikerscapaciteit van de gateway.

Lees de logboeken en verifieer dan de resource

Drie bestanden onder /var/log/kerio-kvc vertellen het verhaal van de daemon: init.log voor levenscyclusgebeurtenissen, error.log voor kritieke fouten en debug.log voor detail. Lees het kleinste fragment dat uw vraag beantwoordt, en verwijder eindpunten en gebruikersnamen voordat u het ergens plakt. Een gat in init.log rond het moment dat u de wizard hebt uitgevoerd, zegt u dat de daemon nooit opnieuw is gestart.

Een geldig pakket, een draaiende daemon en een bereikbare resource zijn drie afzonderlijke resultaten, en de lijst is pas compleet als alle drie kloppen. Vraag na een goedgekeurde wijziging om een host die alleen achter de gateway bestaat, en open daar dan een normale dienst op. Als de tunnel omhoog is en de resource niet, zit de resterende fout in een route van de gateway of een firewallregel, niet in de client die u zojuist opnieuw hebt geconfigureerd.

Noteer de toestand waarin u eindigde: pakketrelease, architectuur, of de vingerafdruk via een ander kanaal is geverifieerd, en welke herlaad of herstart u hebt uitgevoerd. Die notitie is wat de eerste controle van de volgende persoon goedkoop maakt.