Keyfile ці Netplan: дзе насамрэч захоўваецца профіль VPN?

Знайсці файл, які вы імпартавалі, — гэта лёгкая частка і часта няправільны пачатак. Важна тое, які файл NetworkManager сёння чытае як захаванае злучэнне, а гэта залежыць ад ідэнтыфікатара злучэння і ад таго, які бэкенд канфігурацыі фактычна выкарыстоўваюць усталяваныя пакеты. Правіць імпарт да адказу на гэтае пытанне — гэта шлях, якім працоўны VPN ператвараецца ў дзве напалову правільныя канфігурацыі.

Імпартаваны файл — не захаваны профіль

Вакол кожнай праблемы VPN лунаюць тры назвы: назва злучэння, імя файла, які вы імпартавалі, і віртуальны інтэрфейс, што з’яўляецца пры ўзняцці тунэля. Ніводная з іх не ідэнтыфікуе захаваную канфігурацыю, і назву злучэння можна змяніць, пакуль файл за ёй захоўвае свой першапачатковы ідэнтыфікатар.

Пачніце з інвентарызацыі толькі для чытання і выберыце патрэбны VPN па ідэнтыфікатары, а не па назве:

nmcli -f NAME,UUID,TYPE connection show

Трымайце імёны хостаў канцавых кропак і меткі ідэнтычнасці па-за любым інвентаром, які вы ўстаўляеце ў тыкет. Карысная частка — гэта тып і ідэнтыфікатар; астатняе — кантэкст, які чужому чалавеку не патрэбны. Зацямніце астатняе перад публікацыяй і скажыце, што вы гэта зрабілі, каб ніхто не думаў, што значыць пустата.

Месцы keyfile не азначаюць тое самае

З родным плагінам keyfile файлы злучэнняў могуць з’яўляцца ў трох каталогах, і розніца паміж імі — гэта ўстойлівасць, а не зручнасць.

Праўка копіі часу выканання выглядае паспяховай да наступнага запуску, і ў гэты момант змена знікае, а файл выглядае таямніча вернутым. Праўка копіі, якую паставіў пакет, працуе да абнаўлення, якое яе заменіць, — гэта больш павольная і заблытаная версія таго ж урока.

Дакументацыя keyfile дадае дэталь, якой варта паважаць: гэтыя файлы могуць змяшчаць прыватныя ключы і парольныя фразы, і NetworkManager ігнаруе любы keyfile, які могуць чытаць або пісаць карыстальнікі, акрамя root. Пашырэнне правоў каталога, каб пашукаць наладу, ламае тыя паводзіны загрузкі, якія вы спрабавалі даследаваць.

Калі ўстойлівасцю валодае Netplan

На Ubuntu інтэграцыя NetworkManager, апісаная ў дакументацыі Netplan і даступная з 23.10, змяняе месца ўстойлівай копіі. Для нячасовых злучэнняў яна запісвае /etc/netplan/90-NM-<connection UUID>.yaml і стварае эфемерны профіль NetworkManager у /run/NetworkManager/system-connections/.

Гэта інтэграцыя дыстрыбутыва, а не правіла для кожнай усталёўкі NetworkManager. Пацвердзіце, што ўсталяваныя пакеты сапраўды яе выкарыстоўваюць, перш чым шукаць файл YAML. Памятайце таксама, што профіль часу выканання можа быць згенераваным прадстаўленнем чаго-небудзь іншага, а не крыніцай, якую варта правіць. Дзве каманды праверкі эканомяць гадзіну праўкі няправільнага файла.

Дакументаваны прыклад захоўвае злучэнне OpenVPN праз тып Netplan nm-devices з данымі перадачы NetworkManager. Тое, што Netplan не мае спецыяльнага тлумачэння пэўнага поля VPN, не азначае, што ваш захаваны VPN згублены; гэта азначае, што поле падарожнічае як непразрыстыя даныя.

Часовыя інтэрфейсы — не профілі

Актывацыя стварае часовыя віртуальныя злучэнні і інтэрфейсы, якія ніколі не меліся захоўвацца. Інтэграцыя наўмысна не запісвае новы файл YAML для кожнага з іх, таму іх адсутнасць у /etc/netplan нічога не кажа пра тое, ці захаваны бацькоўскі профіль.

Калі вы палюеце на файл, які з’яўляецца і знікае, вы, верагодна, глядзіце на адзін з іх, а не на сваю канфігурацыю. Праверце, ці перажывае ён перазапуск, перш чым рабіць любую выснову з яго змесціва. Файл часу выканання, які знікае пры перазагрузцы, кажа вам, што ён ніколі не быў крыніцай, і гэта адзінае назіранне перанакіроўвае ўсё даследаванне. Яно таксама тлумачыць, чаму праўка тады выглядала паспяховай.

Сакрэты і ўладанне

Профіль можа спасылацца на сертыфікат або ключ, што захоўваецца зусім у іншым месцы, а пароль можа належаць NetworkManager, пастаўляцца сакрэтным агентам карыстальніцкай сесіі, або быць наўмысна незахаваным. Таму пошук аднаго файла вырашае вельмі мала ў пытанні, што спатрэбіцца для запуску без нагляду.

Аглядзіце спасылкі і сцягі сакрэтаў, не друкуючы сакрэтных значэнняў. Уваход у працоўны стол можа зрабіць даступным агента, якога не было пры загрузцы, і капіраванне згенераванага файла часу выканання не ўзнаўляе гэтага агента. Практычны сімптом — тунэль, які злучаецца, калі чалавек уваходзіць, і збаўляе, калі машына стартуе сама. Гэты ўзор паказвае на ўладанне сакрэтамі, а не на маршрутызацыю.

Рабіце ўзгодненыя змены праз менеджар, якому належыць злучэнне, і пасля гэтага праверце як захаваны ідэнтыфікатар, так і эфектыўнае злучэнне. Трымайце аднаго ўстойлівага ўладальніка, бо незалежная праўка імпарту, згенераванага keyfile і крыніцы YAML пакідае тры канкуруючыя тлумачэнні таго, што выкарыстае наступнае перападключэнне. Выберыце тое, што сапраўды захоўваецца, правіце толькі яго і адзначце ў тыкеце, які файл вы лічылі аўтарытэтным. Наступны чалавек падзякуе вам за адзін радок паходжання.