Klient Kerio VPN w Linuksie: pięć kontroli po kolei

Po zainstalowaniu klienta Kerio VPN w Linuksie nie pojawia się żadna ikona na pulpicie, a sieć prywatna pozostaje poza zasięgiem. To normalna postać tego klienta, a nie zepsuta instalacja: instrukcje GFI dla Linuksa opisują konfigurację z wiersza poleceń i skrypt usługi, bez żadnego GUI. Przejdź poniższe kontrole po kolei, bo każda usuwa inną warstwę. Pierwsze niepowodzenie mówi, gdzie się zatrzymać, a przeskakiwanie dalej oznacza zwykle przebudowę pakietu, który nigdy nie był problemem.

Potwierdź, że kompilacja pasuje do maszyny

Zacznij od tego, co dpkg sądzi o maszynie i do czego pakiet został zbudowany. W zwykłym systemie 64-bitowym dpkg --print-architecture wypisuje amd64, a strona dostawcy wymienia pakiet amd64 obok zwykłego pakietu Debiana. Przeczytaj ciąg wydania w nazwie pliku, który naprawdę zainstalowałeś, zamiast zakładać, że oba się zgadzają.

Archiwum z 2013 roku zbudowane dla i386 nie staje się 64-bitowe tylko dlatego, że przekazałeś --force-architecture przy instalacji. Wymuszenie instaluje obce binarki, ukrywa błąd zależności za programem uruchamiającym, który mimo to startuje, i może sprawić, że demon załaduje niewłaściwe biblioteki. Jeśli twoje wydanie jest tylko 32-bitowe, uruchom je w środowisku 32-bitowym albo poproś właściciela bramy o aktualną kompilację.

Sprawdź też wiersz zależności. dpkg -s kerio-control-vpnclient | grep -i depends pokazuje, czego oczekuje pakiet, a niespełnione ograniczenie wersji lub brakująca biblioteka wykonawcza pojawiają się tutaj, a nie w logu klienta.

Skonfiguruj go przez kreator pakietu

Z założenia klient nie ma wpisu w szufladzie aplikacji, więc brakująca ikona nic nie mówi o powodzeniu konfiguracji. Otwórz kreator ponownie poleceniem sudo dpkg-reconfigure kerio-control-vpnclient i odpowiedz na jego pytania: punkt końcowy VPN, dane konta i odcisk certyfikatu serwera.

Traktuj pytanie o odcisk jako jedyne miejsce, w którym zły serwer może wygrać. Porównaj wartość z informacjami o serwerze od administratora zarządzającego bramą, a nie z tym, co prezentuje punkt końcowy. Przyjęcie odcisku, którego nie możesz zweryfikować, zamienia resztę tej listy w dekorację, bo wrogi serwer wygląda identycznie jak prawdziwy, gdy pin jest już zapisany. Jeśli wartości nie da się potwierdzić innym kanałem, zatrzymaj się i zapytaj, nawet gdy tunel i tak by się podniósł.

Ponowne uruchomienie kreatora zmienia konfigurację i może zrestartować klienta, więc utrzymuj drugą drogę do maszyny, gdy sesja, przez którą pracujesz, zależy od tego VPN-u. Wpisz hasło w zwykłym monicie, zamiast osadzać je w poleceniu, które trafi do historii powłoki.

Poznaj plik, który zapisuje kreator

Konfiguracja mieszka w /etc/kerio-kvc.conf i zawiera zarówno konto, jak i przypięty odcisk. Traktuj go jak materiał tajny. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf nie powinno pokazywać go jako czytelnego dla wszystkich.

Po autoryzowanej ręcznej zmianie przeładuj demona będącego właścicielem pliku, zamiast restartować stos sieciowy: sudo /etc/init.d/kerio-kvc reload. Przeładowanie ponownie czyta konfigurację i zrzuca bieżącą sesję, więc nie jest bezczynnością na żywym połączeniu.

Skopiuj poprzedni plik, zanim cokolwiek zmienisz. Jeśli po zmianie uwierzytelnianie zawiedzie, przywrócenie ostatniej działającej kopii zajmuje sekundy i oddziela zmianę od sieci, co jest najtańszym sposobem ustalenia, które z dwojga się przesunęło.

Oddziel żywą sesję od zachowania przy starcie

Skrypt usługi steruje bieżącym połączeniem: sudo /etc/init.d/kerio-kvc stop kończy tunel teraz, a start przywraca go. Żadne z poleceń nie decyduje, co stanie się przy następnym starcie, a ta różnica ma znaczenie na maszynie administrowanej zdalnie.

Sprawdź, do kogo należy autostart, zanim usuniesz dowiązania lub coś zamaskujesz. Pakiet może zainstalować własny skrypt init, wygenerować unit albo jedno i drugie, a wyłączenie złej nazwy przywraca klienta po restarcie. Sprawdź systemctl status kerio-kvc względem nazwy używanej w dokumentacji pakietu, a potem wyłącz ścieżkę, którą proces startowy naprawdę czyta.

Nie podmieniaj unitu OpenVPN tylko dlatego, że konfiguracja wygląda podobnie. Ten klient mówi własnym protokołem do bramy Kerio, więc inny demon wskazany na ten sam plik nie uwierzytelni się, a dodatkowe niepowodzenie utrudnia czytanie dowodów. Klient GFI dla Linuksa trzyma też tylko jedno połączenie VPN naraz; ten limit dotyczy klienta, nie pojemności użytkowników bramy.

Przeczytaj logi, a potem zweryfikuj zasób

Trzy pliki w /var/log/kerio-kvc opowiadają historię demona: init.log dla zdarzeń cyklu życia, error.log dla awarii krytycznych i debug.log dla szczegółów. Przeczytaj najmniejszy fragment, który odpowiada na twoje pytanie, i usuń punkty końcowe oraz nazwy użytkowników, zanim wkleisz go gdziekolwiek. Luka w init.log wokół czasu uruchomienia kreatora mówi, że demon nigdy nie został zrestartowany.

Prawidłowy pakiet, działający demon i osiągalny zasób to trzy osobne wyniki, a lista jest gotowa dopiero, gdy wszystkie trzy się zgadzają. Po zatwierdzonej zmianie poproś o host, który istnieje tylko za bramą, a potem otwórz na nim zwykłą usługę. Jeśli tunel jest podniesiony, a zasobu nie ma, pozostały błąd tkwi w trasie bramy lub regule zapory, a nie w kliencie, który właśnie przekonfigurowałeś.

Zapisz stan, w którym skończyłeś: wydanie pakietu, architekturę, czy odcisk zweryfikowano innym kanałem i które przeładowanie lub restart wykonałeś. To właśnie ta notatka czyni pierwszą kontrolę następnej osoby tanią.