OpenVPN dat start voordat het netwerk er is, is geen storing

Je start de client bij het opstarten, de unit meldt actief, en de tunnel is er niet. De voor de hand liggende conclusie is dat de dienst niet is gestart, en de voor de hand liggende oplossing is hem nog eens starten. Beide zijn vaak genoeg onjuist om er een regel van te maken: een draaiende client die opnieuw probeert, ziet er van buiten precies zo uit als een kapotte. Het verschil zit in wat het proces doet, niet in de toestand van de unit.

Mythe: een gestarte dienst betekent een werkende tunnel

Een actieve unit bewijst dat het proces is gestart en niet is afgesloten. Het bewijst niet dat het profiel is geladen, dat het certificaat is geaccepteerd of dat de andere kant heeft geantwoord. Een verpakte client kan minutenlang in een herhaallus zitten terwijl systemd niets anders dan succes meldt. Die kloof tussen toestand en gedrag is het hele onderwerp.

Het omgekeerde geval komt net zo vaak voor. Het proces kan zijn afgesloten nadat het een sleutel niet kon lezen, en de unit meldt dan een mislukte toestand die niets zegt over waarom. Beide toestanden hebben het log nodig om ze te onderscheiden.

Lees het journal van de instantie in plaats van de toestand van de unit. De redenregel staat in het log, niet in het statuslabel.

Mythe: herhaalinstellingen dekken elke storing

Naamresolutie en transportherhalingen zijn afzonderlijke knoppen met afzonderlijke standaardwaarden. resolv-retry bepaalt het herhaald opzoeken van een externe hostnaam, en de gedocumenteerde standaardwaarde blijft eindeloos proberen. connect-retry stelt het interval tussen pogingen in, terwijl connect-retry-max kan begrenzen hoe vaak elke externe vermelding wordt geprobeerd. Controleer welke fase het log noemt voordat je een van deze waarden wijzigt.

Niets daarvan geldt voor een misvormd profiel, een onleesbare privésleutel of een geweigerd account. Die hebben een correctie nodig, en een client die ze blijft herhalen boekt geen voortgang.

Een niet-goedgekeurd certificaat eindeloos opnieuw proberen is geen reden om de verificatie te verwijderen. Het is een reden om de fout te lezen.

Mythe: één starter is genoeg, dus voeg er nog een toe

Een verbinding die al door NetworkManager of een verpakte unit wordt beheerd, heeft geen tweede starter nodig. Twee processen die om dezelfde routes strijden, leveren dubbele interfaces, verwarrende logs en een tunnel die flappert om redenen die niemand ziet. De tweede kopie komt meestal als omweg omdat de eerste traag is.

Bepaal welke component de tunnel bezit voordat je iets toevoegt. Verwijder daarna de andere starter in plaats van hem uit te zetten en te hopen.

De eigenaar bepaalt ook waar herhalingen en inloggegevens vandaan komen, en daarom komt deze beslissing vóór het afstemmen van wat dan ook. Eigenaarschap komt juist om die reden eerst.

Wat er echt een volgorde nodig heeft

Volgorde kan wachten op een geconfigureerd adres, en dat is alles wat het garandeert. network-online.target stelt de activering uit tot de beheerder het netwerk als actief beschouwt, en de definitie van actief hangt van de beheerder af. Het zegt niets over of de VPN-hostnaam wordt opgelost, of de luisteraar antwoordt, of een captive portal het apparaat heeft toegelaten.

Lees de geïnstalleerde unit en eventuele drop-ins voordat je afhankelijkheden toevoegt. Een brede After= op elke netwerkdienst vertraagt het opstarten zonder de verbinding tot stand te brengen die je echt nodig hebt.

Orde de afhankelijkheid die je kunt testen, en controleer al het andere met een gereedheidsprobe. Een probe die de tunnel opent, verslaat een timer die gokt.

Wat er gebeurt nadat de tunnel voor het eerst opkomt

Opstarten is één gebeurtenis onder vele. De toegangslink verandert, een portalsessie verloopt, de peer herstart. Onderscheid een interne herverbinding van een procesafsluiting die de dienstbeheerder afhandelt, want die twee hebben verschillende eigenaren en laten verschillend bewijs achter.

Interactieve authenticatie beperkt onbeheerd herstel. Een achtergrondunit ontgrendelt geen sleutelring op de desktop en beantwoordt geen MFA-vraag, dus volg de goedgekeurde inloggegevensregeling voor de dienstcontext.

Bepaal apart wat applicaties mogen doen terwijl de tunnel platligt. Herhaling herstelt een verbinding, terwijl een blokkeringsbeleid bepaalt of direct verkeer in die tussenperiode is toegestaan.