Спіс VPN у nmcli: захаваныя профілі супраць актыўных тунеляў

Вы запускаеце nmcli connection show, чакаючы спіс VPN, а атрымліваеце ўсе злучэнні, якія машына калі-небудзь захавала, уключаючы мост і кропку доступу. VPN, які вы шукаеце, можа быць там, можа мець тып, адрозны ад vpn, а можа наогул не быць злучэннем NetworkManager. Каб зразумець, які з гэтых трох выпадкаў ваш, патрэбны дзве каманды.

Два спісы, два пытанні

connection show адказвае, што захаваў NetworkManager, а connection show --active — што зараз падключана да прылады. Першы спіс уключае неактыўныя профілі, і гэта зроблена наўмысна: захаваны VPN, які не працуе, усё яшчэ профіль, які вам, магчыма, давядзецца выправіць. Блытаніна паміж двума стварае ўражанне, што тунель працуе, тады як існуе толькі яго канфігурацыя.

Выбірайце палі, а не чытайце прадвызначаную табліцу, бо прадвызначаны вывад хавае тып на вузкіх тэрміналах і пераносіць доўгія назвы.

NAME, UUID і TYPE звычайна ўсё, што патрэбна для першага праходу, а потым вы агледзіце адзін запіс, які вас цікавіць, па UUID.

Менавіта ў TYPE хаваюцца сюрпрызы

OpenVPN злучэнні, якія кіруюцца праз плагін, паказваюцца як тып vpn, бо плагін — гэта служба ўнутры агульнай структуры VPN. Уласная падтрымка WireGuard — гэта паўнавартасны тып злучэння, таму фільтр па vpn яго не знойдзе. Пошук тунеля WireGuard, які нічога не вяртае, звычайна праблема фільтра, а не адсутны профіль. Гэта архітэктурная розніца, а не дзіва ў назве.

Тое ж датычыцца іншых тыпаў тунеляў, якія NetworkManager з часам навучыўся апрацоўваць уласнымі сродкамі, таму прачытайце слупок TYPE, перш чым рабіць выснову, што чагосьці няма.

Пералічыце ўсё і адфільтруйце потым, і профіль з’явіцца.

Чытайце UUID, а не толькі назву

Назвы — гэта этыкеткі, якія людзі рэдагуюць, і два профілі могуць падзяліць адну пасля няўважнага імпарту. UUID — гэта ідэнтычнасць, на якую спасылаюцца каманды і файлы. Калі запіс выглядае дублікатам, параўнайце UUID і базавыя налады, перш чым нешта выдаляць.

Каманды актывацыі прымаюць любое з двух, і менавіта таму звычка, заснаваная на назве, у рэшце рэшт змяняе не той профіль.

Скапіруйце UUID у нататкі, калі змяняеце нешта, што можа спатрэбіцца адкаціць.

Што захаваны профіль вам не скажа

Захаваны профіль нічога не кажа пра тое, ці ўзняты яго тунель, а актыўнае злучэнне нічога не кажа пра тое, ці працуе трафік унутры яго. Тунель, запушчаны праз wg-quick або праз службовы юніт, — гэта наогул не злучэнне NetworkManager, таму ён адсутнічае ў абодвух спісах, хоць інтэрфейс відавочна прапускае трафік. Праверце інтэрфейс і табліцу маршрутызацыі, перш чым меркаваць, што профіль адсутнічае. Пусты спіс даказвае толькі тое, што NetworkManager не ўласнік.

Два кіраўнікі для аднаго інтэрфейса — гэта іншая версія гэтай праблемы, і яна дае спіс, які выглядае правільным, аднак станам ядра валодае нешта іншае.

Адзін уласнік на інтэрфейс трымае спіс сумленным, а даведка nmcli апісвае, якія палі насамрэч паведамляе кожнае прадстаўленне.

Справаздача без уцечкі сакрэтаў

connection show з назвай друкуе налады, а даданне --show-secrets друкуе прыватныя ключы і паролі разам з імі. Для разбору праблемы ў тыкеце яны не патрэбны. Паведамляйце замест гэтага тып, UUID, стан і адпаведныя маршруты, а ўсё, што прыйшло са сховішча сакрэтаў, зацямняйце.

Інтэрактыўная актывацыя з --ask — гэта падтрыманы спосаб падаць адсутныя ўліковыя даныя, а аўтаматызацыя без нагляду патрабуе іншай дазволенай схемы замест захаванага пароля ў адкрытым тэксце.

Кароткая справаздача з зацямнёнымі данымі прасцей для агляду, чым поўны дамп.