Stop de juiste OpenVPN-verbinding: voorgrond, systemd of NM

Een terminalvenster sluiten is niet hetzelfde als een tunnel sluiten, en een proces doden is niet hetzelfde als een dienst stoppen. Op Linux hangt de opdracht die daadwerkelijk verbreekt af van welke component de verbinding startte en dus de levenscyclus ervan bezit. De vergelijking hieronder behandelt de vier opstellingen die u het meest waarschijnlijk tegenkomt, en de identificatie die elk nodig heeft.

Clients op de voorgrond en gedaemoniseerde clients

Een client die met de hand in een terminal is gestart, hoort bij die terminal. Ctrl+C levert een onderbreking, de client breekt zijn interface af en de tunnel eindigt. Niets anders hoeft te worden ingelicht.

Een client die via een shell-wrapper is gestart en op de achtergrond is achtergelaten, hoort bij niemand in het bijzonder, en dat is het geval waarin mensen naar killall grijpen. Zoek eerst het proces, bevestig dat de opdrachtregel het bedoelde profiel noemt en stuur dan het normale beëindigingssignaal. Een bewaakt proces dat onder zijn supervisor wordt gedood, wordt gewoon opnieuw gestart, daarom is het identificeren van de eigenaar belangrijker dan het kiezen van een signaal. Stuur alleen een signaal naar de procesgroep als u hebt bevestigd dat geen andere tunnel die deelt.

SIGUSR1 is geen verbreking; het vraagt de client de tunnel opnieuw te starten.

systemd-instanties

Wanneer een unit de verbinding bezit, is de unit het object dat moet worden gestopt. Sjablooninstanties zoals openvpn-client@office dragen de profielnaam, en het stoppen van het sjabloondoel in plaats van de instantie kan elke client op de host beïnvloeden.

systemctl list-units 'openvpn-client@*'
systemctl stop [email protected]

Lees de ExecStart van de unit als u niet zeker weet welk profiel de instantie heeft geladen.

Een ingeschakelde unit komt bij de volgende start terug, wat een aparte beslissing is van het nu stoppen. Schakel hem pas uit nadat u hebt besloten dat de verbinding niet mag terugkeren, en leg die beslissing vast waar de volgende beheerder hem vindt.

NetworkManager-profielen

Een profiel dat door NetworkManager wordt beheerd, is geen proces waarnaar u een signaal kunt sturen. De beheerder bezit de levenscyclus, en het object waarop moet worden gehandeld is de actieve verbinding, geïdentificeerd door UUID en niet door weergavenaam. Eerst de actieve lijst lezen laat ook zien of een tweede tunnel onder een naam loopt die u niet verwachtte.

nmcli connection show --active
nmcli connection down uuid actual-uuid

Weergavenamen herhalen zich, en de naam van een profielbestand is niet de identificatie, dus kopieer de UUID uit de lijst. Als de verbinding meteen terugkomt, is er iets dat hem activeert: een secondaries-item op een basisverbinding, een dispatcher-script of een automatische-verbindingsvlag. De verbinding van de beheerder stoppen is de juiste eerste stap, en de heractivering is de volgende vraag. Verwijder het profiel niet om de heractivering te stoppen, want dat verwijdert ook de inloggegevens die u morgen misschien nodig hebt.

De opdrachtreferentie van de beheerder documenteert hoe een down-doel wordt gekozen.

OpenVPN 3-sessies

OpenVPN 3 Linux gebruikt een sessiemodel in plaats van een proces per tunnel. U bekijkt de sessies die de dienst kent en handelt dan op één sessiepad. Het pad is de identificatie, en het is niet uitwisselbaar met een configuratienaam.

openvpn3 sessions-list
openvpn3 session-manage --path /net/openvpn/v3/sessions/... --disconnect

Elke sessie verbreken is een andere actie, en die hoort bewust te zijn.

Dezelfde host kan sessies van meerdere gebruikers bevatten, dus lijst ze op voordat u handelt en bevestig de eigenaar van de sessie die u gaat beëindigen.

Wat u daarna moet verifiëren

Controleer drie dingen na elk van deze stops: de lijst met actieve verbindingen bevat de tunnel niet meer, de interface is verdwenen, en een routeopzoeking voor een intern adres kiest niet langer een tunnelapparaat. Beslis daarna wat er bij de volgende start gebeurt.

ip -brief address
ip route get 10.8.0.1

Een interface met de hand verwijderen stopt de eigenaar niet, en het laat de opruiming half gedaan.

Nu verbreken, de volgende automatische start verhinderen en daarna niet-VPN-verkeer toestaan zijn drie aparte keuzes. Maak elk ervan expliciet.