Kerio VPN-klient på Linux: fem kontroller i ordning

När du installerar Kerio VPN-klienten på Linux dyker ingen skrivbordsikon upp och det privata nätverket förblir utom räckvidd. Det är den här klientens normala form och inte en trasig installation: GFI:s Linux-anvisningar beskriver konfiguration från kommandoraden och ett tjänsteskript, helt utan GUI. Gå igenom kontrollerna nedan i ordning, eftersom var och en tar bort ett annat lager. Det första felet säger var du ska stanna, och att hoppa framåt betyder oftast att bygga om ett paket som aldrig var problemet.

Bekräfta att bygget passar maskinen

Börja med vad dpkg tycker att maskinen är och vad paketet byggdes för. På ett vanligt 64-bitars system dpkg --print-architecture skriver ut amd64, och leverantörens sida listar ett amd64-paket bredvid det vanliga Debian-paketet. Läs utgivningssträngen i filnamnet du faktiskt installerade i stället för att anta att de två stämmer överens.

Ett arkiv från 2013 byggt för i386 blir inte 64-bitars bara för att du skickade --force-architecture vid installationen. Att tvinga det installerar främmande binärfiler, döljer ett beroendefel bakom en startare som ändå startar, och kan få daemonen att läsa in fel bibliotek. Om din utgåva bara finns som 32-bitars, kör den i en 32-bitars miljö eller be gatewayens ägare om ett aktuellt bygge.

Kontrollera också beroendelinjen. dpkg -s kerio-control-vpnclient | grep -i depends visar vad paketet förväntar sig, och en ouppfylld versionsbegränsning eller ett saknat körtidsbibliotek dyker upp här, inte i klientloggen.

Konfigurera den genom paketets guide

Enligt design har klienten ingen post i programlådan, så en saknad ikon säger ingenting om huruvida konfigurationen lyckades. Öppna guiden igen med sudo dpkg-reconfigure kerio-control-vpnclient och svara på frågorna: VPN-slutpunkt, kontouppgifter och servercertifikatets fingeravtryck.

Behandla fingeravtrycksfrågan som den enda platsen där en felaktig server kan vinna. Jämför värdet med serveruppgifterna från administratören som driver gatewayen, inte med vad slutpunkten visar. Att acceptera ett fingeravtryck du inte kan verifiera gör resten av listan till dekoration, eftersom en fientlig server ser identisk ut med den riktiga när pinnen väl är sparad. Om värdet inte kan bekräftas via en annan kanal, stanna och fråga, även när tunneln annars skulle komma upp.

Att köra guiden igen ändrar konfigurationen och kan starta om klienten, så håll en andra väg in till maskinen när sessionen du arbetar över beror på den VPN:en. Skriv lösenordet vid den vanliga uppmaningen i stället för att bädda in det i ett kommando som hamnar i skalhistoriken.

Känn till filen som guiden skriver

Konfigurationen ligger i /etc/kerio-kvc.conf och bär både kontot och det fästa fingeravtrycket. Behandla den som hemligt material. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf bör inte visa den som läsbar för alla.

Efter en auktoriserad manuell ändring, ladda om daemonen som äger filen i stället för att starta om nätverksstacken: sudo /etc/init.d/kerio-kvc reload. En omladdning läser konfigurationen igen och släpper den aktuella sessionen, så det är ingen icke-åtgärd på en levande anslutning.

Kopiera den föregående filen innan du ändrar något. Om autentiseringen misslyckas efter en ändring tar det sekunder att återställa den senast fungerande kopian och isolerar ändringen från nätverket, vilket är det billigaste sättet att ta reda på vilken av de två som flyttade sig.

Separera den levande sessionen från beteendet vid start

Tjänsteskriptet styr den aktuella anslutningen: sudo /etc/init.d/kerio-kvc stop avslutar tunneln nu och start tar tillbaka den. Ingen av kommandona avgör vad som händer vid nästa start, och den skillnaden spelar roll på en maskin du administrerar på distans.

Kontrollera vem som äger autostarten innan du tar bort länkar eller maskerar något. Paketet kan installera sitt eget init-skript, generera en unit eller båda, och att inaktivera fel namn får klienten tillbaka efter en omstart. Kontrollera systemctl status kerio-kvc mot namnet som paketdokumentationen använder, och inaktivera sedan den sökväg som startprocessen faktiskt läser.

Byt inte ut en OpenVPN-unit bara för att konfigurationen ser likadan ut. Den här klienten talar sitt eget protokoll med Kerio-gatewayen, så en annan daemon riktad mot samma fil kommer inte att autentisera sig, och det extra felet gör bevisen svårare att läsa. GFI:s Linux-klient håller också bara en VPN-anslutning i taget; den gränsen gäller klienten, inte gatewayens användarkapacitet.

Läs loggarna och verifiera sedan resursen

Tre filer under /var/log/kerio-kvc berättar daemonens historia: init.log för livscykelhändelser, error.log för kritiska fel och debug.log för detaljer. Läs det minsta utdraget som svarar på din fråga, och ta bort slutpunkter och användarnamn innan du klistrar in det någonstans. En lucka i init.log kring tiden då du körde guiden säger dig att daemonen aldrig startades om.

Ett giltigt paket, en körande daemon och en nåbar resurs är tre separata resultat, och listan är först klar när alla tre håller. Efter en godkänd ändring, begär en värd som bara finns bakom gatewayen, och öppna sedan en vanlig tjänst på den. Om tunneln är uppe och resursen inte, sitter det återstående felet i en gateway-rutt eller brandväggsregel, inte i klienten du just konfigurerade om.

Anteckna tillståndet du slutade i: paketutgåva, arkitektur, om fingeravtrycket verifierades via en annan kanal och vilken omladdning eller omstart du körde. Den anteckningen är det som gör nästa persons första kontroll billig.