NM OpenVPN: захаваны профіль — гэта не ваш файл .ovpn

Той жа .ovpn файл падключаецца з абалонкі і сканчаецца тайм-аўтам пасля імпарту ў NetworkManager. Натуральная выснова — VPN зламаны. Больш імавернае тлумачэнне драбнейшае: NetworkManager не захаваў файл, ён імпартаваў частку яго ў захаванае злучэнне, а працоўны тунель выкарыстоўвае менавіта гэтыя захаваныя даныя. Што б файл ні казаў цяпер, гэта не мае дачынення да таго, што ўтрымлівае профіль.

Файл — гэта не профіль

Імпарт — гэта пераклад, а не мантаванне. Параметры, якія разумее ўбудова, становяцца ключамі ў vpn.data слоўніку злучэння; параметры, якія яна не разумее, адкідваюцца або запісваюцца ў іншае месца, а зыходны шлях — толькі спасылка. Рэдагаванне зыходнага файла пасля гэтага нічога не змяняе ў злучэнні, якое ўжо захавана.

Гэтая розніца тлумачыць цэлае сямейства паведамленняў: агульны ключ перавярнулі, файл абнавілі, а тунель усё яшчэ не працуе. Захаваны профіль дагэтуль паказвае на стары шлях або старое значэнне, а камандны радок працягвае працаваць, бо чытае файл, які вы адрэдагавалі. Два кліенты, дзве крыніцы праўды, і абноўлена толькі адна з іх.

Чытайце захаваны профіль, а не дыялог

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Выкарыстоўвайце UUID, калі два профілі маюць аднолькавую назву, і пераканайцеся, што тып службы — гэта OpenVPN убудова, якую вы чакаеце, а не іншы тып VPN, які выпадкова ўсталяваны. Затым параўнайце канцавую кропку, транспарт і спасылкі на сертыфікаты з працоўным выклікам.

Значэнне, бачнае ў графічным рэдактары, не з'яўляецца доказам таго, што яно было захавана. Захавайце, адкрыйце нанова і перачытайце праз камандны радок; гістарычныя дэфекты захавання — гэта прычына праверыць захаваныя даныя, а не доказ таго, што кожная сучасная зборка мае тую ж памылку. Праверка каштуе адну каманду.

Два ключы і кірунак, які мае значэнне

Для злучэння, якое выкарыстоўвае аўтэнтыфікацыю TLS, убудова захоўвае шлях да агульнага ключа ў ta і кірунак у ta-dir, калі разгортванне выкарыстоўвае кірунак. Абодва жывуць у слоўніку даных профіля, і абодва павінны адпавядаць таму, што чакае сервер.

Кірунак — гэта рашэнне на баку сервера, выражанае на кліенце. Выбраць кірунак таму, што ён ёсць у суседняга профіля, — гэта шлях, якім працоўны ключ пачынае правальваць рукапацісканне. Калі канфігурацыя сервера не мае кірунку, кліент не павінен выдумляць кірунак.

Сам файл ключа павінен быць чытэльным для ўбудовы ў тым асяроддзі, у якім яна фактычна працуе. Абмежаваны пакет мае іншы погляд на файлавую сістэму, чым звычайная ўсталёўка на працоўны стол, таму шлях, які існуе ў вашай абалонцы, можа быць нябачным для службы.

Абнавіце адзін запіс, а не слоўнік

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Плюс у пачатку абнаўляе асобныя запісы слоўніка. Прызначэнне vpn.data без яго замяняе ўвесь слоўнік — менавіта так адзін адсутны ключ ператвараецца ў пяць зламаных налад. Перачытайце профіль пасля змены і пераканайцеся, што астатнія запісы выжылі. Слоўнік, які страціў сваю аддаленую канцавую кропку і сертыфікаты, — гэта нашмат даўжэйшая пасляабедзенная пара, чым тая, з якой вы пачалі.

Перападключыцеся праз звычайныя элементы кіравання і назірайце за этапам, які не працуе. Калі брама агульнага ключа цяпер пройдзена, а кліент паведамляе пра памылку сертыфіката або аўтэнтыфікацыі карыстальніка, вы прасунуліся наперад, і наступнае расследаванне — іншае.

Не змешвайце рэжымы канала кіравання

tls-auth, tls-crypt, і tls-crypt-v2 — розныя ўладкаванні. Файл ключа, які выглядае падобна, не робіць іх узаемазаменнымі, а запаўненне палёў TLS-Auth таму, што іншы профіль змяшчае адфарматаваны ключ, стварае профіль, які не працуе так, як пры няправільным ключы.

Выкарыстоўвайце схему, што адпавядае рэжыму ў канфігурацыі сервера. Калі рэжым незразумелы, спытайце ўладальніка сервера, а не ўгадвайце па першым радку файла.

Трымайце шлях аднаўлення, калі тунель нясе вашу сесію кіравання. Захаваная змена не абавязкова ўжытая змена, а паспяховы імпарт не доказ таго, што кожны зыходны параметр падтрымліваўся. Абедзве гэтыя розніцы варта ведаць, перш чым перападключыць спасылку, праз якую вы працуеце.