Адзін профіль, два ўладальнікі: NetworkManager ці systemd

З файлам .ovpn нічога не адбываецца, пакуль ім не авалодае нешта. На працоўным стале Pi верагоднымі ўладальнікамі з'яўляюцца NetworkManager, які захоўвае імпартаванае злучэнне ў сваім ключавым файле, і асобны юніт службы, які чытае канфігурацыю з каталога. Гэта дзве мадэлі працы з розным захоўваннем, розным абыходжаннем з уліковымі данымі і рознымі правіламі актывацыі. Свядома выбраць адну з іх — і ёсць уся задача; капіяванне файла ў абодва месцы проста робіць выбар выпадковым.

Абодва могуць працаваць на адной машыне, але не на адным тунелі ў адзін і той жа момант, і канфлікт выглядае як збой сеткі, а не як збой канфігурацыі.

Два спосабы валодаць адным тунелём

Плагін OpenVPN у NetworkManager дадае рэдактар і службу, якія кіруюць злучэннем за вас, а ўсталёўка праграмы OpenVPN не ўсталёўвае гэтую інтэграцыю. Асобны юніт — гэта адваротная схема: без рэдактара, без інтэграцыі з працоўным сталом, адзін файл канфігурацыі і тыя правы, якія дае юніт. Першы трымае стан злучэння ў сваёй базе даных, другі трымае яго там, дзе кажуць профіль і юніт. Большасць блытаніны паходзіць з меркавання, што імпартаваны профіль і скапіяваны файл — гэта адзін і той жа аб'ект.

Гэта не два выгляды аднаго прадмета. Рэдагаванне спампаванага файла не змяняе ні таго, што захаваў NetworkManager, ні таго, што чытае юніт, і любы з іх можа быць тым, што пабудаваў тунель, які вы толькі што праверылі.

Ідзіце за злучэннем, якое працоўны стол сапраўды выкарыстоўвае

Дакументаваная аперацыя імпарту, nmcli connection import type openvpn file office.ovpn, стварае злучэнне праз плагін. Запішыце яго UUID і выкарыстоўвайце гэты ідэнтыфікатар далей, бо назвы рэдагуюцца і два злучэнні могуць мець адну метку. nmcli connection show паказвае, што існуе, а чытанне ўласцівасцей самога злучэння раскажа, з якога файла яно прыйшло і што захоўвае. Калі UUID, які вы рэдагуеце, не той, што актывуе працоўны стол, вашыя праўкі — проста ўпрыгажэнне.

Сакрэты жывуць у сховішчы ўладальніка. Выгрузка ўсіх захаваных сакрэтаў, каб высветліць, які профіль актыўны, — павольная і рызыкоўная; спытайце ў аб'екта злучэння замест гэтага і трымайце прыватны матэрыял там, дзе ўладальнік яго чакае.

Імпартаванаму злучэнню не патрэбна графічная сесія, каб працаваць, але яму ўсё яшчэ можа спатрэбіцца крыніца ўліковых даных. Ці запусціцца яно без нагляду, залежыць ад яго правоў і сакрэтаў, а не ад наяўнасці працоўнага стала.

Прачытайце шаблон юніта, перш чым спадзявацца на яго

Калі пакет пастаўляе кліенцкі юніт у стылі апстрыма, экзэмпляр з іменем office адпавядае %i.conf у настроеным каталогу юніта, які для шаблона 2.6 — гэта /etc/openvpn/client. Прачытайце ўсталяваны юніт і любыя дадатковыя файлы, перш чым давяраць прыкладу з кіраўніцтва, бо дыстрыбутывы пераносяць шляхі. Ручны запуск з тэрмінала нічога не даказвае пра погляд службы на файлы, сакрэты ці правы. Дыялог пароля на працоўным стале таксама не доказ таго, што неінтэрактыўны юніт мае ўзгоднены спосаб атрымаць той жа пароль.

Дайце юніту толькі тое, што яму трэба. Паслабленне ўсяго sandbox службы праз тое, што адзін файл не чытаецца, абменьвае дробную праваку правоў на вялікую ўразлівасць, а памылка звычайна называе файл, які патрабуе ўвагі.

Вывядзіце дублікат, не страціўшы доступ

Калі абодва ўладальнікі могуць запусціць тунель, адзін з іх у рэшце рэшт пераможа ў няправільны момант, і маршруты і прылада пераможанага застануцца збоку. Выдаліце выпадковы дублікат праз яго ўласнага ўладальніка, пакіньце шлях аднаўлення адкрытым і пацвердзіце, што ўладальнік, які застаўся, усё яшчэ падключаецца пасля перазагрузкі. Дзве свядома асобныя VPN з рознымі палітыкамі маршрутызацыі — гэта іншае пытанне праектавання, а не дазвол двум шляхам запуску спаборнічаць за адно злучэнне.

Затым запішыце жыццёвы цыкл, які вы прынялі: ручная актывацыя, уваход у сістэму або загрузка і перападключэнне. Праверце захаваную канчатковую кропку, аўтэнтыфікацыю суразмоўцы і рэсурс, да якога тунель павінен дабрацца, бо пераўстаноўка працоўнага стала не заменіць веданне таго, якая канфігурацыя працавала.