AWS Client VPN sa na Linuxe nespustí? Zlaďte runtime

Nainštalovali ste balík AWS Client VPN na Ubuntu, spustili ho a dostali chybu zavádzača o chýbajúcej zdieľanej knižnici skôr, než sa prečítal akýkoľvek profil. Prvý inštinkt je vziať tú knižnicu zo staršieho vydania a pokračovať. Zvyčajne to vymení jednu pokazenú závislosť za systém, ktorý už nezodpovedá vlastnej databáze balíkov. Zlyhanie spustenia je otázka hranice podpory, nie siete.

Chyba menuje knižnicu, nie sieť

Desktopový klient VPN musí načítať svoje runtime prostredie skôr, než sa pozrie na váš profil alebo koncový bod. Keď dynamický zavádzač nedokáže vyriešiť symbol, proces zomrie v prvej sekunde a okno sa nikdy neobjaví. Žiadne úpravy profilu, práca s DNS ani zmeny trás sa do tej fázy nedostanú. Čítajte správu doslovne, pretože vám presne hovorí, ktorý objekt zavádzač chcel.

Takto tiež oddeľujete dve rodiny zlyhaní. Chýbajúci zdieľaný objekt je problém balenia na vašom hostiteľovi, kým odmietnutie autentifikácie je rozhodnutie na strane služby, ktoré prichádza oveľa neskôr v sekvencii.

Obe končia zatvárajúcim sa oknom, preto sa v hláseniach chýb zamieňajú.

Prepínače globalizácie sú iný problém

Chyby, ktoré spomínajú ICU alebo globalizáciu, pochádzajú z runtime .NET pod niektorými zostaveniami klienta, nie z TLS zásobníka. Nastavenie prepínača invariantnej globalizácie mení, ako to prostredie spracúva kultúrne údaje, a nedodáva chýbajúcu libssl. Jeho použitie na utíšenie chyby TLS vám nechá klienta, ktorý sa spustí a potom zlyhá inde.

Držte obe v oddelených krabiciach: jedno mení správanie runtime, druhé uspokojuje linker. Siahnuť po prvom, keď máte druhé, je zvyk, ktorý sa oplatí opustiť.

Ak hostiteľ naozaj nemôže poskytnúť požadované runtime prostredie, podporovanou odpoveďou je iný hostiteľ, nie upravený.

Prečo import starého OpenSSL udrie späť

Kopírovanie libssl a libcrypto zo staršej distribúcie do /usr/lib funguje dosť často na to, aby to bolo lákavé. Stavia tiež knižnicu mimo kontroly správcu balíkov, takže každá ďalšia bezpečnostná aktualizácia ju buď minie, alebo sa s ňou zrazí. Na hostiteľovi, kde beží aj prehliadač alebo klient SSH, ste zmenili kryptografický zásobník programom, ktoré o to nikdy nežiadali.

Podporovanou cestou je dokumentovaný zdroj balíkov a riešenie jeho závislostí pre presne vaše vydanie OS a architektúru. Skontrolujte požiadavky klienta AWS pre Linux a poznámky k vydaniu verzie, ktorú inštalujete, pretože matica podpory sa medzi vydaniami posúva.

Staré riešenie z fóra je snímka jednej dvojice vydaní, nie záruka kompatibility.

Zachovajte definíciu služby od dodávateľa

Niektoré príručky vám dajú minimálnu jednotku systemd, aby nahradila zabalenú. Tá jednotka zvyčajne zahodí argumenty, nastavenia spevnenia a integráciu, ktoré dodávateľ pridal neskôr, a výsledná porucha sa objaví inde, než by ste ju s úpravou spojili.

Ak potrebujete zmenu, použite namiesto toho drop-in: malý súbor prepisu v adresári .d jednotky, ktorý pridá alebo nahradí jednu direktívu, s komentárom, prečo existuje a ako ho vrátiť. Súbor dodávateľa zostane nedotknutý a ďalšia aktualizácia balíka vašu prácu ani ticho nezruší, ani nezduplikuje.

Zapíšte cestu prepisu do svojich poznámok, pretože budúci správca sa tam pozrie ako prvý.

Dokážte spustenie skôr, než budete ladiť trasy

Dosiahnite, aby sa klient spoľahlivo spustil so schváleným profilom, potom sa prihláste, potom potvrďte tunel a až potom sa pozerajte na trasy, DNS a privátne zdroje. Každá fáza prináša vlastný dôkaz a ich miešanie robí z problému prostredia problém smerovania. Ak potrebujete podporu dodávateľa, zachyťte prvú užitočnú udalosť spustenia namiesto snímky zatvárajúceho sa okna.

Nikdy neprikladajte súkromný kľúč ani celý profil s vloženými prihlasovacími údajmi ako diagnostický materiál.

Jedna otázka vyrieši väčšinu týchto tiketov: je nainštalovaná verzia klienta na tomto vydaní OS stále podporovaná? Ak nie, opravou je podporovaná dvojica, nie ďalší lov na knižnice.