NM OpenVPN: die gestoorde profiel is nie jou .ovpn-lêer nie

Dieselfde .ovpn lêer verbind vanuit 'n shell en hou op reageer nadat dit in NetworkManager ingevoer is. Die natuurlike gevolgtrekking is dat die VPN stukkend is. Die waarskynliker verklaring is kleiner: NetworkManager het nie die lêer behou nie, dit het 'n deel daarvan in 'n gestoorde verbinding ingevoer, en die lopende tonnel gebruik eerder daardie gestoorde data. Wat die lêer nou ook al sê, is irrelevant vir wat die profiel bevat.

Die lêer is nie die profiel nie

Voer is 'n vertaling, nie 'n montering nie. Opsies wat die inprop verstaan, word sleutels in die verbinding se vpn.data woordeboek; opsies wat dit nie verstaan nie, word weggegooi of elders aangeteken, en die oorspronklike pad is net 'n verwysing. Om die bronlêer daarna te wysig, verander niks aan die verbinding wat reeds gestoor is nie.

Daardie gaping verduidelik 'n hele familie verslae: die gedeelde sleutel is geroteer, die lêer is opgedateer, en die tonnel misluk steeds. Die gestoorde profiel wys steeds na die ou pad of die ou waarde, en die opdragreël bly werk omdat dit die lêer lees wat jy gewysig het. Twee kliënte, twee bronne van waarheid, en net een van hulle is opgedateer.

Lees die gestoorde profiel, nie die dialoog nie

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Gebruik die UUID wanneer twee profiele 'n naam deel, en bevestig dat die dienstipe die OpenVPN inprop is wat jy verwag, eerder as 'n ander VPN-tipe wat toevallig geïnstalleer is. Vergelyk dan die eindpunt, die vervoer en die sertifikaatverwysings met die werkende aanroep.

'n Waarde wat in 'n grafiese redigeerder sigbaar is, is nie bewys dat dit gestoor is nie. Stoor, heropen en lees dit terug deur die opdragreël; historiese stoorfoute is 'n rede om die gestoorde data na te gaan, nie 'n bewys dat elke huidige bou dieselfde fout het nie. Die kontrole kos een opdrag.

Twee sleutels, en 'n rigting wat saak maak

Vir 'n verbinding wat TLS-verifikasie gebruik, stoor die inprop die gedeelde sleutel se pad in ta en die rigting in ta-dir wanneer die ontplooiing een gebruik. Albei woon in die profiel se datwoordeboek, en albei moet ooreenstem met wat die bediener verwag.

Rigting is 'n besluit aan die bedienerkant wat op die kliënt uitgedruk word. Om een te kies omdat 'n naburige profiel dit het, is hoe 'n werkende sleutel uiteindelik 'n handdruk laat misluk. As die bedienerkonfigurasie nie-rigtinggewend is, moet die kliënt nie 'n rigting uitdink nie.

Die sleutellêer self moet deur die inprop leesbaar wees in die konteks waarin dit werklik loop. 'n Beperkte pakket het 'n ander lêerstelsel-aansig as 'n gewone werkskerminstallasie, so 'n pad wat in jou shell bestaan, kan onsigbaar wees vir die diens.

Dateer een inskrywing op, nie die woordeboek nie

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Die voorste plus dateer individuele woordeboekinskrywings op. Om vpn.data sonder dit toe te wys, vervang die hele woordeboek, en dit is hoe een ontbrekende sleutel in vyf stukkende instellings verander. Lees die profiel terug ná die verandering en bevestig dat die ander inskrywings oorleef het. 'n Woordeboek wat sy afgeleë eindpunt en sy sertifikate verloor het, is 'n veel langer middag as die een waarmee jy begin het.

Herverbind deur die normale kontroles en kyk na die stadium wat misluk. As die gedeelde-sleutel-hek nou verby is en die kliënt 'n sertifikaat- of gebruikerverifikasiefout rapporteer, het jy vorentoe beweeg en die volgende ondersoek is 'n ander een.

Moenie die beheerkanaalmodusse verwar nie

tls-auth, tls-crypt, en tls-crypt-v2 is verskillende reëlings. 'n Sleutellêer wat soortgelyk lyk, maak hulle nie uitruilbaar nie, en om die TLS-Auth-velde te vul omdat 'n ander profiel 'n geformateerde sleutel bevat, lewer 'n profiel wat misluk op 'n manier wat soos 'n verkeerde sleutel lyk.

Gebruik die inprop-kaarte wat by die modus in die bediener se konfigurasie pas. Wanneer die modus onduidelik is, vra die bediener se eienaar eerder as om uit die lêer se eerste reël te raai.

Hou 'n herstelpad wanneer die tonnel jou bestuursessie dra. 'n Gestoorde verandering is nie noodwendig 'n toegepaste verandering nie, en 'n suksesvolle invoer is nie bewys dat elke bronopsie ondersteun is nie. Albei gapings is die moeite werd om van te weet voordat jy die skakel herverbind waardeur jy werk.