OpenConnect vpnc-script: koja se datoteka izvršava?

OpenConnect može dovršiti rukovanje tunelom i ipak vas ostaviti bez rute do privatne podmreže, jer su klijent i pomoćnik koji mijenja stanje lokalne mreže dva različita programa. Autentifikacija dokazuje da je pristupnik prihvatio sesiju; ne dokazuje ništa o tome koje su sučelje, rute ili postavke razrješivača instalirane nakon toga. Većina zbunjujućih izvještaja dolazi od zamjene pomoćnika kopijom iz starog odgovora, što mijenja ponašanje za svaku vezu na računaru. Pronađite pomoćnika koji pokrenuti klijent zaista poziva prije nego što bilo šta u njemu uredite.

Dva programa, dvije odgovornosti

Klijent posjeduje prijenos, autentifikaciju i uređaj tunela. Odvojeni pomoćnik posjeduje ono što se dešava na lokalnom sistemu kad tunel postoji: adresiranje na sučelju, rute za podmreže koje je pristupnik objavio i konfiguraciju razrješivača. dokumentacija pomoćnika OpenConnect opisuje tu podjelu i okruženje koje pomoćnik dobija. Razlika je važna tokom kvara, jer odbijena lozinka i ruta koja nedostaje nisu isti incident čak i kad radna površina prikazuje jedan dijalog za oboje.

Držanje te podjele na umu objašnjava i zašto veza može prijaviti uspjeh dok se privatna imena još ne razrješavaju. Tunel je podignut u oba slučaja, a razlikuje se samo faza lokalne integracije.

Pronađite pomoćnika koji koristi pokrenuti klijent

Putanja se postavlja pri izgradnji paketa i može se nadjačati pri svakom pozivu, pa datoteka koju pamtite iz druge distribucije možda nema nikakve veze s ovom vezom. Pitajte pokrenuti proces, a ne dokumentaciju koja vam je slučajno otvorena.

openconnect --version
ps -o args= -C openconnect
dpkg -L openconnect | grep -i script
ls -l /etc/vpnc/ 2>/dev/null

Ako linija procesa nosi argument --script , ta datoteka pobjeđuje nad kompajliranim zadanim. Starije putanje poput /etc/vpnc/vpnc-script mogu postojati i ostati neiskorištene, zato njihovo brisanje ili uređivanje ništa ne mijenja na novijoj gradnji. Provjerite i datum izmjene, jer pomoćnik koji godinama nikoga nije dotakao jak je znak da posao obavlja zadana vrijednost iz paketa.

Integracija s NetworkManagerom treći je vlasnik, s vlastitim pomoćnikom i vlastitim postavkama profila. Slaganje druge skripte za rute ili razrješivač povrh te integracije duplira rute i ostavlja razrješivač za koji dva programa tvrde da ga upravljaju. Odaberite jednog vlasnika po vezi i onemogućite drugog prije testiranja.

Čitajte prvu neuspjelu operaciju, a ne posljednje upozorenje

Konfiguracija sučelja, instalacija ruta, odabir razrješivača i čišćenje zastarjelog stanja odvojeni su koraci, a upozorenje ispisano posljednje često je žalba na čišćenje, a ne kvar koji je slomio vezu. Čitajte prema gore do prve konkretne operacije koja nije uspjela. Greška pomoćnika koja imenuje datoteku ili adresu vrijedi više od deset redova buke razgradnje.

Uporedite namjeravani lokalni rezultat s opaženim: uređaj tunela postoji, ruta do poznate privatne adrese ide kroz njega, a razrješivač odgovara za privatno ime. Pomoćnik koji uspije u prva dva i padne na trećem upućuje na politiku razrješivača, a ne na rutiranje. Pomoćnik koji uopšte ne konfiguriše uređaj vjerovatno nikada nije ni izvršen, a to je pitanje dozvola, a ne mreže. Potvrdite izvršni bit i servisni račun prije nego što prepišete bilo koju logiku.

Provjerite povezivanje, ponovno povezivanje i prekid

Postavljanje je samo polovina ugovora, jer isti pomoćnik mora obnoviti ili ukloniti stanje koje posjeduje kad se tunel zatvori. Pomoćnik koji dodaje rute i nikada ih ne uklanja ostavlja računar sa zastarjelom putanjom koja nadživi sesiju.

ip -brief address show tun0
ip route get 10.24.8.15
resolvectl status tun0
journalctl -u NetworkManager -b --no-pager | grep -i -E 'vpnc|script'

Pokrenite prva tri dok ste povezani, prekinite vezu, pa ih pokrenite ponovo i potvrdite da su ruta i unos razrješivača nestali. Četvrti red pokazuje da li je pomoćnik uopšte pozvan i koju je izvršnu putanju koristila usluga. Zabilježite taj par izlaza u tiketu, jer upravo prije-i-poslije čini grešku čišćenja očiglednom.

Držite pomoćnika upakovanog i izvršnog za servisni račun, jer skripta koja radi u vašoj ljusci ipak može biti odbijena pod ograničenom servisnom politikom. Kad je prilagođavanje zaista potrebno, dokumentujte njegovu svrhu i vlasnika i uporedite ga s upakovanom verzijom pri svakom nadograđivanju. Neobjašnjen fork pomoćnika jedna je od rijetkih stvari koje mogu učiniti da radna veza pokvari za godinu.