OpenVPN који се покрене пре мреже није квар

Покренете клијент при подизању, јединица пријављује активно, а тунела нема. Природан закључак је да услуга није стартовала, а природан поправак је покренути је поново. Обоје је довољно често погрешно да заслужује правило: клијент који ради и понавља покушаје споља изгледа тачно као покварен. Разлика је у томе шта процес ради, а не у стању јединице.

Мит: покренута услуга значи тунел који ради

Активна јединица доказује да је процес покренут и да није изашао. Не доказује да се профил учитао, да је сертификат прихваћен или да је друга страна одговорила. Упакован клијент може минутима да седи у петљи покушаја, док systemd не извештава ништа осим успеха. Тај јаз између стања и понашања је цела тема.

Обрнут случај је једнако чест. Процес је могао да изађе пошто није успео да прочита кључ, а јединица тада пријављује стање неуспеха које не говори зашто. За разликовање оба стања потребан је дневник.

Читајте дневник те инстанце, а не стање јединице. Ред са разлогом је у дневнику, а не у ознаци стања.

Мит: подешавања понављања покривају сваки квар

Разрешавање имена и понављања преноса су одвојени контролори са одвојеним подразумеваним вредностима. resolv-retry управља поновљеним претрагама удаљеног имена хоста, а документована подразумевана вредност покушава бесконачно. connect-retry поставља размак између покушаја, док connect-retry-max може да ограничи колико се пута покушава сваки удаљени унос. Проверите који степен дневник наводи пре него што било шта од тога промените.

Ништа од тога не важи за искривљен профил, нечитљив приватни кључ или одбијен налог. Њима треба исправка, а клијент који их стално понавља не напредује.

Бесконачно понављање неодобреног сертификата није разлог за уклањање провере. То је разлог да прочитате грешку.

Мит: један покретач је довољан, па додајте још један

Веза којом већ управља NetworkManager или упакована јединица не треба други покретач. Два процеса која се такмиче за исте руте стварају двострука сучеља, збуњујуће дневнике и тунел који трепери због разлога које нико не види. Друга копија обично долази као заобилазно решење јер је прва спора.

Одлучите која компонента поседује тунел пре него што било шта додате. Затим уклоните други покретач уместо да га онемогућите и надате се.

Власник одређује и одакле долазе понављања и акредитиви, зато ова одлука долази пре било каквог подешавања. Власништво је прво управо из тог разлога.

Шта заиста треба редослед

Редослед може да чека конфигурисану адресу, и то је све што гарантује. network-online.target одлаже активацију док управљач не сматра мрежу подигнутом, а дефиниција подигнуте зависи од управљача. Не говори ништа о томе да ли се име хоста VPN разрешава, да ли слушалац одговара или да ли је портал са пријавом пустио уређај унутра.

Прочитајте инсталирану јединицу и све drop-in датотеке пре него што додате зависности. Широки After= на свакој мрежној услузи одлаже подизање без успостављања везе која вам стварно треба.

Поређајте зависност коју можете да тестирате, а све остало проверите сондом спремности. Сонда која отвара тунел побеђује тајмер који нагађа.

Шта се дешава после првог подизања тунела

Подизање је један догађај међу многима. Приступна веза се мења, сесија портала истиче, партнер се поново покреће. Разликујте унутрашње поновно повезивање од изласка процеса који обрађује управљач услуга, јер њих двоје имају различите власнике и остављају различите трагове.

Интерактивна аутентификација ограничава опоравак без надзора. Позадинска јединица не откључава привезак кључева радне површине и не одговара на MFA захтев, зато следите одобрени распоред акредитива за контекст услуге.

Одвојено одлучите шта апликације смеју да раде док је тунел доле. Понављање враћа везу, док политика блокирања одлучује да ли је директан саобраћај дозвољен у том јазу.