Ứng dụng khách Kerio VPN trên Linux: năm bước kiểm tra theo thứ tự

Sau khi cài ứng dụng khách Kerio VPN trên Linux, không có biểu tượng nào xuất hiện trên màn hình nền và mạng riêng vẫn nằm ngoài tầm với. Đó là hình dạng bình thường của ứng dụng này chứ không phải bản cài hỏng: hướng dẫn Linux của GFI mô tả cấu hình từ dòng lệnh và một tập lệnh dịch vụ, hoàn toàn không có GUI. Hãy làm các bước kiểm tra dưới đây theo thứ tự, vì mỗi bước gỡ một lớp khác nhau. Lỗi đầu tiên cho biết nên dừng ở đâu, và nhảy cóc thường có nghĩa là dựng lại một gói chưa bao giờ là vấn đề.

Xác nhận bản dựng khớp với máy

Bắt đầu với điều mà dpkg cho là máy gì và gói được dựng cho mục đích gì. Trên một hệ thống 64 bit thông thường, dpkg --print-architecture in ra amd64, và trang nhà cung cấp liệt kê gói amd64 bên cạnh gói Debian thông thường. Hãy đọc chuỗi phát hành trong tên tệp bạn thực sự đã cài thay vì giả định hai thứ khớp nhau.

Một kho lưu trữ năm 2013 dựng cho i386 không trở thành 64 bit chỉ vì bạn đã truyền --force-architecture khi cài đặt. Việc ép buộc cài các tệp nhị phân ngoại lai, giấu một lỗi phụ thuộc sau trình khởi chạy vẫn chạy, và có thể khiến daemon nạp nhầm thư viện. Nếu bản phát hành của bạn chỉ có 32 bit, hãy chạy nó trong môi trường 32 bit hoặc yêu cầu chủ cổng một bản dựng mới.

Cũng kiểm tra dòng phụ thuộc. dpkg -s kerio-control-vpnclient | grep -i depends cho biết gói mong đợi điều gì, và một ràng buộc phiên bản không được đáp ứng hay thư viện thời gian chạy thiếu sẽ hiện ra ở đây, không phải trong nhật ký của ứng dụng.

Cấu hình nó qua trình hướng dẫn của gói

Theo thiết kế, ứng dụng không có mục nào trong ngăn ứng dụng, nên một biểu tượng thiếu không nói lên điều gì về việc cấu hình có thành công hay không. Mở lại trình hướng dẫn bằng sudo dpkg-reconfigure kerio-control-vpnclient và trả lời các câu hỏi: điểm cuối VPN, thông tin tài khoản và dấu vân tay chứng chỉ máy chủ.

Coi câu hỏi về dấu vân tay là nơi duy nhất mà một máy chủ sai có thể thắng. So sánh giá trị với thông tin máy chủ do quản trị viên vận hành cổng cung cấp, không phải với những gì điểm cuối trình bày. Chấp nhận một dấu vân tay bạn không thể xác minh sẽ biến phần còn lại của danh sách này thành đồ trang trí, vì máy chủ thù địch trông giống hệt máy chủ thật sau khi pin được lưu. Nếu không thể xác nhận giá trị qua kênh khác, hãy dừng lại và hỏi, ngay cả khi đường hầm vẫn dựng lên.

Chạy lại trình hướng dẫn sẽ thay đổi cấu hình và có thể khởi động lại ứng dụng, nên hãy giữ một đường thứ hai vào máy khi phiên bạn đang làm việc phụ thuộc vào VPN đó. Gõ mật khẩu tại dấu nhắc thông thường thay vì nhúng nó vào một lệnh sẽ nằm trong lịch sử shell.

Biết tệp mà trình hướng dẫn ghi

Cấu hình nằm trong /etc/kerio-kvc.conf và mang cả tài khoản lẫn dấu vân tay đã ghim. Hãy coi đó là vật liệu mật. sudo stat -c '%a %U %G' /etc/kerio-kvc.conf không nên hiển thị nó như thứ ai cũng đọc được.

Sau một chỉnh sửa thủ công được cho phép, hãy nạp lại daemon sở hữu tệp thay vì khởi động lại chồng giao thức mạng: sudo /etc/init.d/kerio-kvc reload. Việc nạp lại đọc lại cấu hình và bỏ phiên hiện tại, nên nó không phải thao tác vô hại trên một kết nối đang sống.

Sao chép tệp trước đó trước khi thay đổi bất cứ điều gì. Nếu xác thực thất bại sau khi chỉnh sửa, khôi phục bản sao tốt cuối cùng chỉ mất vài giây và tách chỉnh sửa khỏi mạng, đó là cách rẻ nhất để biết cái nào trong hai đã dịch chuyển.

Tách phiên đang sống khỏi hành vi khi khởi động

Tập lệnh dịch vụ điều khiển kết nối hiện tại: sudo /etc/init.d/kerio-kvc stop kết thúc đường hầm ngay bây giờ và start đưa nó trở lại. Không lệnh nào quyết định điều gì xảy ra ở lần khởi động tiếp theo, và khác biệt đó quan trọng trên một máy bạn quản trị từ xa.

Kiểm tra ai sở hữu việc tự khởi động trước khi gỡ liên kết hoặc che giấu thứ gì. Gói có thể cài tập lệnh init riêng, tạo một unit hoặc cả hai, và việc vô hiệu hóa sai tên khiến ứng dụng quay lại sau khi khởi động lại. Kiểm tra systemctl status kerio-kvc với tên mà tài liệu của gói dùng, rồi vô hiệu hóa đường dẫn mà quá trình khởi động thực sự đọc.

Đừng thay thế một unit OpenVPN chỉ vì cấu hình trông giống nhau. Ứng dụng này nói giao thức riêng với cổng Kerio, nên một daemon khác trỏ vào cùng tệp sẽ không xác thực được, và lỗi thêm vào khiến bằng chứng khó đọc hơn. Ứng dụng GFI cho Linux cũng chỉ giữ một kết nối VPN tại một thời điểm; giới hạn đó áp dụng cho ứng dụng, không phải cho dung lượng người dùng của cổng.

Đọc nhật ký, rồi xác minh tài nguyên

Ba tệp dưới /var/log/kerio-kvc kể câu chuyện của daemon: init.log cho các sự kiện vòng đời, error.log cho các lỗi nghiêm trọng và debug.log cho chi tiết. Đọc đoạn trích nhỏ nhất trả lời câu hỏi của bạn, và gỡ điểm cuối cùng tên người dùng trước khi dán nó ở bất cứ đâu. Một khoảng trống trong init.log quanh thời điểm bạn chạy trình hướng dẫn cho biết daemon chưa bao giờ được khởi động lại.

Một gói hợp lệ, một daemon đang chạy và một tài nguyên tiếp cận được là ba kết quả riêng biệt, và danh sách chỉ hoàn tất khi cả ba đều đúng. Sau một thay đổi được phê duyệt, hãy yêu cầu một máy chủ chỉ tồn tại sau cổng, rồi mở một dịch vụ bình thường trên đó. Nếu đường hầm đã lên mà tài nguyên không tới được, lỗi còn lại nằm ở tuyến của cổng hoặc quy tắc tường lửa, không phải ở ứng dụng bạn vừa cấu hình lại.

Ghi lại trạng thái bạn kết thúc: bản phát hành gói, kiến trúc, dấu vân tay có được xác minh qua kênh khác không và bạn đã chạy lần nạp lại hay khởi động lại nào. Chính ghi chú đó làm cho lần kiểm tra đầu tiên của người tiếp theo trở nên rẻ.