Klient Kerio VPN v Linuxe: päť kontrol v poradí

Po inštalácii klienta Kerio VPN v Linuxe sa neobjaví žiadna ikona na ploche a privátna sieť zostáva mimo dosahu. To je bežná podoba tohto klienta, nie pokazená inštalácia: pokyny GFI pre Linux opisujú konfiguráciu z príkazového riadka a skript služby, úplne bez grafického rozhrania. Prejdite kontroly nižšie v poradí, pretože každá odstraňuje inú vrstvu. Prvé zlyhanie vám povie, kde sa zastaviť, a preskočenie dopredu zvyčajne znamená prestavbu balíka, ktorý nikdy nebol problémom.

Overte, že zostavenie zodpovedá stroju

Začnite tým, čo si dpkg myslí o stroji, a na čo bol balík zostavený. Na bežnom 64-bitovom systéme dpkg --print-architecture vypíše amd64, a stránka dodávateľa uvádza balík amd64 vedľa bežného balíka Debian. Prečítajte si reťazec vydania v názve súboru, ktorý ste skutočne nainštalovali, namiesto toho, aby ste predpokladali, že oba sedia.

Archív z roku 2013 zostavený pre i386 sa nestane 64-bitovým len preto, že ste odovzdali --force-architecture pri inštalácii. Vynútenie nainštaluje cudzie binárne súbory, skryje zlyhanie závislosti za spúšťačom, ktorý aj tak štartuje, a môže nechať démona načítať nesprávne knižnice. Ak vaše vydanie existuje len v 32-bitovej podobe, spustite ho v 32-bitovom prostredí alebo požiadajte vlastníka brány o aktuálne zostavenie.

Skontrolujte aj riadok závislostí. dpkg -s kerio-control-vpnclient | grep -i depends ukazuje, čo balík očakáva, a nesplnené obmedzenie verzie alebo chýbajúca runtime knižnica sa objavia tu, nie v zázname klienta.

Nakonfigurujte ho pomocou sprievodcu balíka

Klient podľa návrhu nemá žiadnu položku v ponuke aplikácií, takže chýbajúca ikona nič nehovorí o tom, či konfigurácia uspela. Znova otvorte sprievodcu pomocou sudo dpkg-reconfigure kerio-control-vpnclient a odpovedzte na jeho otázky: koncový bod VPN, údaje o účte a odtlačok certifikátu servera.

Berte otázku odtlačku ako jediné miesto, kde môže nesprávny server vyhrať. Porovnajte hodnotu s informáciami o serveri od správcu, ktorý spravuje bránu, nie s tým, čo predkladá koncový bod. Prijatie odtlačku, ktorý nemôžete overiť, premení zvyšok tohto zoznamu na dekoráciu, pretože nepriateľský server vyzerá po uložení pinu rovnako ako ten skutočný. Ak hodnotu nemožno potvrdiť iným kanálom, zastavte sa a spýtajte sa, aj keď by sa tunel inak vzniesol.

Opätovné spustenie sprievodcu mení konfiguráciu a môže reštartovať klienta, preto si držte druhú cestu k stroju, keď relácia, cez ktorú pracujete, závisí od tejto VPN. Zadajte heslo pri bežnej výzve namiesto jeho vloženia do príkazu, ktorý skončí v histórii shellu.

Poznajte súbor, ktorý sprievodca zapisuje

Konfigurácia žije v /etc/kerio-kvc.conf a nesie účet aj pripnutý odtlačok. Berte ju ako tajný materiál. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf by ho nemal zobrazovať ako čitateľný pre všetkých.

Po povolenej ručnej úprave znova načítajte démona, ktorý súbor vlastní, namiesto reštartu sieťového zásobníka: sudo /etc/init.d/kerio-kvc reload. Opätovné načítanie znova prečíta konfiguráciu a zahodí aktuálnu reláciu, takže na živom spojení to nie je nečinnosť.

Pred akoukoľvek zmenou skopírujte predchádzajúci súbor. Ak overenie po úprave zlyhá, obnovenie poslednej funkčnej kópie trvá sekundy a izoluje úpravu od siete, čo je najlacnejší spôsob, ako zistiť, ktorá z dvoch sa pohla.

Oddeľte živú reláciu od správania pri štarte

Skript služby ovláda aktuálne spojenie: sudo /etc/init.d/kerio-kvc stop okamžite ukončí tunel a start ho vráti. Ani jeden príkaz nerozhoduje, čo sa stane pri ďalšom štarte, a ten rozdiel je dôležitý na stroji, ktorý spravujete na diaľku.

Pred odstránením odkazov alebo maskovaním čohokoľvek zistite, koho je automatický štart. Balík môže nainštalovať vlastný init skript, vygenerovať unit alebo oboje, a vypnutie nesprávneho názvu vráti klienta po reštarte. Skontrolujte systemctl status kerio-kvc voči názvu, ktorý používa dokumentácia balíka, a potom vypnite cestu, ktorú proces štartu skutočne číta.

Nenahrádzajte unit OpenVPN len preto, že konfigurácia vyzerá podobne. Tento klient hovorí vlastným protokolom s bránou Kerio, takže iný démon nasmerovaný na ten istý súbor sa neautentifikuje, a ďalšie zlyhanie robí dôkazy ťažšie čitateľnými. Klient GFI pre Linux tiež drží len jedno VPN spojenie naraz; ten limit platí pre klienta, nie pre používateľskú kapacitu brány.

Prečítajte záznamy a potom overte zdroj

Tri súbory v /var/log/kerio-kvc rozprávajú príbeh démona: init.log pre udalosti životného cyklu, error.log pre kritické zlyhania a debug.log pre podrobnosti. Prečítajte najmenší výňatok, ktorý odpovedá na vašu otázku, a pred vložením kamkoľvek odstráňte koncové body a používateľské mená. Medzera v init.log okolo času, keď ste spustili sprievodcu, vám hovorí, že démon nebol nikdy reštartovaný.

Platný balík, bežiaci démon a dostupný zdroj sú tri samostatné výsledky a zoznam je hotový len vtedy, keď platia všetky tri. Po schválenej zmene požiadajte o host, ktorý existuje len za bránou, a potom na ňom otvorte bežnú službu. Ak tunel stojí a zdroj nie, zvyšná porucha je v trase brány alebo v pravidle firewallu, nie v klientovi, ktorý ste práve prekonfigurovali.

Zapíšte stav, v ktorom ste skončili: vydanie balíka, architektúru, či bol odtlačok overený iným kanálom a ktoré opätovné načítanie alebo reštart ste vykonali. Práve tá poznámka robí prvú kontrolu ďalšieho človeka lacnou.