Een profiel, twee eienaars: NetworkManager of systemd

Niks gebeur met ’n .ovpn-lêer voordat iets dit besit nie. Op ’n Pi-skyf is die waarskynlike eienaars NetworkManager, wat ’n ingevoerde verbinding in sy eie sleutellêer stoor, en ’n losstaande dienseenheid wat ’n konfigurasie uit ’n gids lees. Dis twee bedryfsmodelle met verskillende berging, verskillende hantering van geloofsbriewe en verskillende aktiveringsreëls. Om een daarvan doelbewus te kies is die hele taak; om die lêer op albei plekke te kopieer maak net die keuse toevallig.

Albei kan op een masjien werk, maar nie op dieselfde tonnel op dieselfde oomblik nie, en die konflik lyk soos ’n netwerkfout eerder as ’n konfigurasiefout.

Twee maniere om dieselfde tonnel te besit

Die OpenVPN inprop van NetworkManager voeg ’n redigeerder en ’n diens by wat die verbinding namens jou bestuur, en om die OpenVPN-program te installeer bring nie daardie integrasie mee nie. ’n Losstaande eenheid is die teenoorgestelde reëling: geen redigeerder nie, geen werkskermintegrasie nie, een konfigurasielêer en net die regte wat die eenheid gee. Die eerste hou verbindingstoestand in sy eie databasis, die tweede hou dit waar die profiel en die eenheid sê. Die meeste verwarring kom daaruit dat ’n mens aanneem ’n ingevoerde profiel en ’n gekopieerde lêer is dieselfde ding.

Hulle is nie twee aansigte van een ding nie. Om die afgelaaide lêer te wysig verander niks aan wat NetworkManager gestoor het of wat die eenheid lees nie, en enigeen van hulle kan die een wees wat die tonnel gebou het wat jy pas getoets het.

Volg die verbinding wat die werkskerm werklik gebruik

Die gedokumenteerde invoerbewerking, nmcli connection import type openvpn file office.ovpn, skep ’n verbinding deur die inprop. Teken sy UUID aan en gebruik daardie identifiseerder daarna, want name word gewysig en twee verbindings kan dieselfde etiket deel. nmcli connection show lys wat bestaan, en om die eienskappe van ’n verbinding te lees vertel jou uit watter lêer dit kom en wat dit stoor. As die UUID wat jy wysig nie die een is wat die werkskerm aktiveer nie, is jou wysigings net versiering.

Geluimbriewe woon in die eienaar se berging. Om elke gestoorde geheim uit te gooi om uit te vind watter profiel aktief is, is stadig en riskant; vra eerder die verbindingobjek, en hou private materiaal waar die eienaar dit verwag.

’n Ingevoerde verbinding het nie ’n grafiese sessie nodig om te loop nie, maar dit het dalk steeds ’n bron van geloofsbriewe nodig. Of dit onbewaak begin, hang af van sy regte en geheime, nie van die teenwoordigheid van die werkskerm nie.

Lees die eenheidsjabloon voordat jy daarop staatmaak

Waar die pakket die opstroom-styl kliënteenheid verskaf, karteer ’n instansie met die naam office na %i.conf binne die eenheid se gekonfigureerde gids, wat vir die 2.6-sjabloon /etc/openvpn/client is. Lees die geïnstalleerde eenheid en enige byvoegsels voordat jy ’n voorbeeld uit ’n gids vertrou, want verspreidings verskuif paaie. ’n Handmatige bekendstelling uit ’n terminaal bewys niks oor die diens se siening van lêers, geheime of regte nie. Die werkskerm se wagwoorddialoog is ook nie bewys dat ’n nie-interaktiewe eenheid ’n goedgekeurde manier het om dieselfde wagwoord te kry nie.

Gee die eenheid net wat dit nodig het. Om die hele dienssandput te verslap omdat een verwysde lêer onleesbaar is, ruil ’n klein regstelling vir ’n groot blootstelling, en die fout noem gewoonlik die lêer wat aandag nodig het.

Onttrek die duplikaat sonder om toegang te verloor

As albei eienaars die tonnel kan begin, wen een daarvan uiteindelik op die verkeerde oomblik en bly die verloorder se roetes en toestel agter. Verwyder die toevallige duplikaat deur sy eie eienaar, hou ’n herstelpad oop, en bevestig dat die oorblywende eienaar nog ná ’n herbegin kan koppel. Twee doelbewus aparte VPN's met verskillende roeteringsbeleide is ’n ander ontwerpvraag, nie toestemming vir twee bekendstellingspaaie om oor een verbinding te kompeteer nie.

Skryf dan die lewensiklus neer wat jy aanvaar het: handmatige aktivering, aanmelding, of selflaai en herverbinding. Kontroleer die gestoorde eindpunt, die eweknie-verifikasie en die hulpbron wat die tonnel moet bereik, want om die werkskerm te herinstalleer kan nie die wete vervang watter konfigurasie geloop het nie.