AWS Client VPN не запускается в Linux? Подберите среду выполнения

Вы установили пакет AWS Client VPN в Ubuntu, запустили его и получили ошибку загрузчика об отсутствующей разделяемой библиотеке ещё до того, как был прочитан хоть один профиль. Первый порыв — взять эту библиотеку из более старого выпуска и продолжить. Обычно это меняет одну сломанную зависимость на систему, которая больше не соответствует собственной базе пакетов. Сбой запуска — вопрос границы поддержки, а не сети.

Ошибка называет библиотеку, а не сеть

Клиент VPN для рабочего стола должен загрузить свою среду выполнения, прежде чем смотреть на ваш профиль или конечную точку. Когда динамический загрузчик не может разрешить символ, процесс умирает в первую же секунду, и окно никогда не появляется. Никакая правка профиля, работа с DNS или изменения маршрутов не доходят до этой стадии. Читайте сообщение буквально: оно точно говорит, какой объект хотел загрузчик.

Так же разделяются два семейства отказов. Отсутствующий разделяемый объект — это проблема упаковки на вашем хосте, а отказ аутентификации — решение на стороне сервиса, которое приходит гораздо позже в последовательности.

Оба заканчиваются закрывающимся окном, поэтому в отчётах об ошибках их путают.

Переключатели глобализации — другая проблема

Ошибки с упоминанием ICU или глобализации происходят из среды .NET под некоторыми сборками клиента, а не из стека TLS. Установка переключателя инвариантной глобализации меняет то, как эта среда обрабатывает данные культуры, и не поставляет отсутствующую libssl. Применение его, чтобы заглушить ошибку TLS, оставляет клиент, который запускается и затем сбоит в другом месте.

Держите две вещи в отдельных ящиках: одна меняет поведение среды, другая удовлетворяет компоновщик. Тянуться к первой, когда есть вторая, — привычка, которую стоит оставить.

Если хост действительно не может обеспечить требуемую среду, поддерживаемый ответ — другой хост, а не изменённый.

Почему импорт старого OpenSSL бьёт по вам

Копирование libssl и libcrypto из более старого дистрибутива в /usr/lib срабатывает достаточно часто, чтобы быть соблазнительным. Оно также выводит библиотеку из-под контроля менеджера пакетов, так что каждое последующее обновление безопасности либо пропускает её, либо конфликтует с ней. На хосте, где также работают браузер или клиент SSH, вы изменили криптографический стек программам, которые об этом не просили.

Поддерживаемый путь — документированный источник пакетов и разрешение его зависимостей именно для вашего выпуска ОС и архитектуры. Проверьте требования AWS к клиенту для Linux и примечания к выпуску той версии, которую устанавливаете, потому что матрица поддержки смещается между выпусками.

Старое решение с форума — это снимок одной пары выпусков, а не гарантия совместимости.

Сохраняйте определение сервиса от поставщика

Некоторые руководства дают минимальный юнит systemd на замену упакованному. Такой юнит обычно теряет аргументы, настройки усиления и интеграцию, добавленные поставщиком позже, и возникший сбой проявляется там, где вы не свяжете его с правкой.

Если нужна правка, используйте вместо этого drop-in: небольшой файл переопределения в каталоге .d юнита, который добавляет или заменяет одну директиву, с комментарием, зачем он нужен и как его откатить. Файл поставщика остаётся нетронутым, и следующее обновление пакета не отменяет вашу работу молча и не дублирует её.

Запишите путь переопределения в заметки, потому что следующий администратор посмотрит туда первым делом.

Докажите запуск, прежде чем отлаживать маршруты

Добейтесь, чтобы клиент надёжно запускался с утверждённым профилем, затем войдите, затем подтвердите туннель, и только после этого смотрите на маршруты, DNS и частные ресурсы. Каждая стадия даёт своё доказательство, а их смешение заставляет проблему среды выглядеть как проблема маршрутизации. Если нужна поддержка поставщика, зафиксируйте первое полезное событие запуска вместо снимка закрывающегося окна.

Никогда не прикладывайте закрытый ключ или полный профиль с встроенными учётными данными как диагностический материал.

Один вопрос решает большинство таких обращений: поддерживается ли установленная версия клиента в этом выпуске ОС? Если нет, исправление — поддерживаемая пара, а не очередная охота за библиотеками.