NM OpenVPN: ملف التعريف المحفوظ ليس ملف .ovpn الخاص بك

نفس .ovpn ملف يتصل من موجه الأوامر وينتهي بعد الاستيراد إلى NetworkManager. الاستنتاج الطبيعي أن VPN معطّل. التفسير الأرجح أصغر: NetworkManager لم يحتفظ بالملف، بل استورد جزءًا منه إلى اتصال محفوظ، والنفق العامل يستخدم تلك البيانات المحفوظة بدلًا من ذلك. ما يقوله الملف الآن لا علاقة له بما يحمله ملف التعريف.

الملف ليس ملف التعريف

الاستيراد ترجمة، لا تحميل. الخيارات التي تفهمها الإضافة تصبح مفاتيح في vpn.data قاموس الاتصال؛ الخيارات التي لا تفهمها تُسقط أو تُسجَّل في مكان آخر، والمسار الأصلي مجرد إشارة. تعديل ملف المصدر بعد ذلك لا يغيّر شيئًا في الاتصال المحفوظ بالفعل.

تفسّر هذه الفجوة مجموعة كاملة من التقارير: جرى تدوير المفتاح المشترك، وحُدّث الملف، ومع ذلك يفشل النفق. لا يزال ملف التعريف المحفوظ يشير إلى المسار القديم أو القيمة القديمة، ويظل موجه الأوامر يعمل لأنه يقرأ الملف الذي عدّلته. عميلان، ومصدرا حقيقة، ولم يُحدَّث إلا واحد منهما.

اقرأ ملف التعريف المحفوظ، لا مربع الحوار

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

استخدم معرّف UUID عندما يشترك ملفا تعريف في الاسم نفسه، وتأكد من أن نوع الخدمة هو إضافة OpenVPN التي تتوقعها، لا نوع VPN مختلف صادف أنه مثبَّت. ثم قارن نقطة النهاية والنقل ومراجع الشهادات بالاستدعاء العامل.

قيمة ظاهرة في محرر رسومي ليست دليلًا على أنها حُفظت. احفظ وأعد الفتح ثم اقرأها مرة أخرى عبر موجه الأوامر؛ عيوب الحفظ التاريخية سبب لفحص البيانات المحفوظة، لا دليل على أن كل إصدار حالي يحمل العيب نفسه. الفحص يكلّف أمرًا واحدًا.

مفتاحان، واتجاه مهم

بالنسبة لاتصال يستخدم مصادقة TLS، تخزّن الإضافة مسار المفتاح المشترك في ta والاتجاه في ta-dir عندما يستخدم النشر اتجاهًا. كلاهما موجود في قاموس بيانات ملف التعريف، وكلاهما يجب أن يطابق ما يتوقعه الخادم.

الاتجاه قرار من جهة الخادم يُعبَّر عنه على العميل. اختيار اتجاه لأن ملف تعريف مجاور يحتويه هو الطريق الذي ينتهي به مفتاح عامل إلى فشل مصافحة. إذا كانت تهيئة الخادم بلا اتجاه، فلا ينبغي للعميل أن يبتكر اتجاهًا.

ملف المفتاح نفسه يجب أن تكون الإضافة قادرة على قراءته في السياق الذي يعمل فيه فعليًا. الحزمة المقيّدة لها رؤية مختلفة لنظام الملفات عن تثبيت سطح مكتب عادي، لذا قد يكون مسار موجود في موجه الأوامر غير مرئي للخدمة.

حدّث مدخلًا واحدًا، لا القاموس

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

علامة الزائد في البداية تحدّث مدخلات القاموس فرديًا. إسناد vpn.data بدونها يستبدل القاموس كله، وهكذا يتحول مفتاح واحد ناقص إلى خمسة إعدادات معطلة. اقرأ ملف التعريف مرة أخرى بعد التغيير وتأكد من بقاء المدخلات الأخرى. قاموس فقد نقطة نهايته البعيدة وشهاداته هو مساء أطول بكثير من المساء الذي بدأته.

أعد الاتصال عبر الضوابط المعتادة وراقب المرحلة التي تفشل. إذا تجاوزت بوابة المفتاح المشترك الآن وأبلغ العميل عن خطأ في الشهادة أو في مصادقة المستخدم، فقد تقدمت، والتحقيق التالي تحقيق آخر.

لا تخلط بين أوضاع قناة التحكم

tls-auth, tls-crypt، و tls-crypt-v2 ترتيبات مختلفة. ملف مفتاح يبدو مشابهًا لا يجعلها قابلة للتبادل، وملء حقول TLS-Auth لأن ملف تعريف آخر يحتوي مفتاحًا منسقًا ينتج ملف تعريف يفشل بطريقة تشبه مفتاحًا خاطئًا.

استخدم تعيين الإضافة المطابق للوضع في تهيئة الخادم. عندما يكون الوضع غير واضح، اسأل مالك الخادم بدلًا من التخمين من السطر الأول للملف.

احتفظ بمسار استرداد عندما يحمل النفق جلسة إدارتك. التغيير المحفوظ ليس بالضرورة تغييرًا مطبَّقًا، والاستيراد الناجح ليس دليلًا على دعم كل خيار في المصدر. كلتا الفجوتين تستحقان المعرفة قبل أن تعيد توصيل الرابط الذي تعمل عبره.