Wi-Fi падключаецца сам; VPN патрабуе другаснай сувязі

Ноўтбук далучаецца да Wi-Fi раней, чым вы сядаеце, а VPN усё яшчэ чакае націску. Налада аўтападключэння ў профілі VPN нічога не змяняе, бо гэты пераключальнік кіруе ўласнай актывацыяй профілю, а NetworkManager разглядае VPN як спадарожнік базавага злучэння. Апісаны механізм — гэта спіс другасных злучэнняў базавага злучэння, і гэта іншая ўласцівасць у іншым месцы.

Аўтападключэнне — не пераключальнік VPN

Профіль Wi-Fi або Ethernet можа актывавацца самастойна, бо ён валодае прыладай. Профіль плагіна VPN не валодае прыладай у тым жа сэнсе; ён запускаецца побач са злучэннем, якое ёй валодае. Менавіта таму сцяг аўтападключэння на VPN выглядае правільным, захоўваецца карэктна і не стварае тунэлю. Сцяг адказвае на пытанне пра профіль, а не пра сетку, якая яму патрэбна.

Чытанне мадэлі таксама тлумачыць рэжым адмовы. База падключаецца, нішто не просіць VPN запусціцца, і працоўны стол паказвае адключаны VPN побач з падключанай сеткай. Нішто не зламана; сувязь проста ніколі не была створана.

Вызначце абодва профілі па UUID

nmcli -f NAME,UUID,TYPE connection show

Выберыце профіль Wi-Fi або Ethernet, які павінен запускаць тунэль, затым патрэбны профіль VPN. Выкарыстоўвайце UUID, а не імёны, бо імя — гэта ярлык, які можна дубляваць або змяняць, а UUID — гэта тое, што шлях актывацыі сапраўды развязвае.

Не блытайце імя профілю з імем інтэрфейсу або адрасам, які машына зараз мае. Гэта тры розныя ідэнтыфікатары, якія выпадкова выглядаюць падобна ў тэрмінале, і іх змешванне дае змену, накіраваную ні на што.

Дадайце VPN да базавага злучэння

nmcli connection modify uuid "PRIMARY_UUID" +connection.secondaries "VPN_UUID"

Форма з плюсам дадае да існуючага спісу; калі яе прапусціць, спіс замяняецца, што моўчкі выдаляе любое іншае другаснае злучэнне, якое ўжо было наладжана. Спачатку паглядзіце бягучае значэнне і запішыце яго, перш чым нешта змяняць.

Налады злучэнняў NetworkManager апісваюць другасныя злучэнні як VPN-злучэнні, якія запускаюцца разам з базавым. Ці з'яўляецца ўласны профіль WireGuard такім жа аб'ектам, залежыць ад таго, як NetworkManager ім кіруе, таму тая ж каманда можа быць няправільным інструментам для тунэлю, які выглядае як інтэрфейс, а не як плагін VPN.

Гэта змена палітыкі злучэнняў, а не пераключальнік часу выканання. Ужыце яе праз любы працэс перападключэння, які ўхваляе разгортванне, і чакайце, што першая актывацыя пасля змены будзе паводзіць сябе інакш, чым сеанс, у якім вы зараз сядзіце.

Сакрэты не ўваходзяць у сувязь

Другасны запіс кажа «запусці гэта разам з тым». Нішто ў ім не перадае пароль, не разблакоўвае звязку ключоў і не адказвае на запыт. Профіль, які паспяхова аўтэнтыфікуецца пасля ўваходу ў працоўны стол, можа ўсё роўна не спрацаваць, калі ён актывуецца ў кантэксце, дзе агент сакрэтаў недаступны.

Выкарыстоўвайце падтрыманы сістэмны або агентны варыянт размяшчэння сакрэтаў для фактычнага разгортвання. Захоўванне пароля ўсіх у скрыпце, каб тунэль мог запускацца без нагляду, ператварае праект аўтэнтыфікацыі ў файл, які перажывае занятасць свайго ўладальніка.

Чытайце абедзве падзеі, затым праверце рэсурс

Назірайце за базавым злучэннем і актывацыяй VPN падчас адной спробы. Адсутная падзея VPN азначае, што трыгер ніколі не наладжваўся або UUID няправільны. Падзея VPN, за якой ідзе збой аўтэнтыфікацыі, азначае, што трыгер спрацаваў, а пакінутая праблема — гэта ўліковыя дадзеныя, што патрабуе іншага выпраўлення.

Пасля актывацыі запытайце рэсурс, які матываваў наладку, замест таго каб давяраць значку. Затым свядома адключыцеся і паназірайце, што адбудзецца далей, бо сувязь аўтаматычнага запуску не з'яўляецца аварыйным выключальнікам і не абяцае бясконцых паўтораў. Калі патрабаванне — «ніякага трафіку без тунэлю», гэта асобная палітыка, якая патрабуе ўласнай канфігурацыі і ўласнага тэсту. Змешванне двух — гэта тое, як машына пачынае перападключацца ў цыкле, пакуль карыстальнік верыць, што яна абаронена.