Чаму рэдактар VPN не захоўвае новы профіль

Кнопка «Захаваць» застаецца шэрай, хоць кожнае поле выглядае запоўненым, а шлюз яшчэ не бачыў ніводнага пакета. Нічога не адхілена, бо нічога не адпраўлена. Элемент кіравання адлюстроўвае тое, што лакальны рэдактар можа праверыць у профілі перад сабой. Гэта больш вузкае пытанне, чым ці працуе ўліковы запіс, і на яго адказваюць без сеткі.

Кнопка адлюстроўвае лакальную праверку

У адключанага элемента кіравання больш за адну лакальную прычыну, і звонку яны выглядаюць аднолькава. Можа не хапаць абавязковай спасылкі, указаны файл можа быць нечытальным для карыстальніка, які запускае рэдактар, або плагін, які апрацоўваў бы выбраны метад, можа быць зусім не ўсталяваны. Праблемы з правамі на самім профілі даюць тую ж шэрую кнопку, што і пустое поле.

Прачытайце паведамленне праверкі, перш чым нешта змяняць, бо ў паведамленні названа поле, супраць якога пярэчыць рэдактар. Адгадваць форму павольней, чым прачытаць адзін сказ, які рэдактар ужо напісаў.

Прывядзіце палі ў адпаведнасць з выбраным метадам

Патрабаваныя ўваходныя даныя вынікаюць з метаду падключэння, а не з кампаноўкі дыялогу. Ідэнтычнасць па сертыфікаце патрабуе кліенцкага сертыфіката і доступу да адпаведнага закрытага ключа, а таксама спосабу праверыць сервер. Метад на аснове ўліковага запісу мае іншыя патрабаванні і таксама патрабуе праверкі сервера. Некаторыя разгортванні патрабуюць абодвух адначасова, таму форма, якая здаецца лішняй, часта правільная.

Выкарыстоўвайце падтрымоўваны профіль і інструкцыі аператара па рэгістрацыі замест таго, каб складаць палі навобмацак. Змясціць кліенцкі сертыфікат у поле CA, абыходзіцца з адкрытым сертыфікатам як з закрытым ключом або ўпісаць пароль уліковага запісу ў поле парольнай фразы закрытага ключа — усё гэта пашырана і дае адмову захоўваць гэтак жа моўчкі.

Правярайце кожную спасылку як аб’ект, якім яна павінна быць. Імя файла з правільным пашырэннем нічога не даказвае пра чытальнасць, уладальніка ці належнасць гэтай ідэнтычнасці. Закрыты ключ, чытальны толькі для root, не загрузіцца ў сеансе працоўнага стала, і рэдактар паведамляе пра гэта як пра памылку праверкі, а не як пра памылку правоў.

Змена метаду толькі дзеля таго, каб кнопка стала актыўнай, змяняе сэнс профілю. Увод выпадковых пароляў і наступнае вяртанне назад могуць пакінуць захаваныя значэнні, якіх ніхто не хацеў. Гэта таксама хавае патрабаванне, якога сапраўды не хапала, і яно вяртаецца як памылка падключэння праз гадзіну.

Аддзяляйце захаваныя сакрэты ад сакрэтаў агента

Частка звестак належыць захаванаму профілю, а іншыя ўліковыя даныя могуць падавацца інтэрактыўна пры актывацыі. API падключэнняў NetworkManager трымае праверку падключэння, праверку сакрэтаў і выяўленне сакрэтаў асобнымі аперацыямі, і яго ўласная дакументацыя папярэджвае, што падказкі не заўсёды могуць вызначыць усё, што патрэбна падключэнню.

Гэтая розніца тлумачыць пустое поле пароля. Яно можа быць правільным, бо агент сакрэтаў падасць значэнне, і можа быць няправільным, бо ў гэтага падключэння няма даступнага агента. Сцягі, прывязаныя да сакрэту, вырашаюць, ці належыць ён сістэме, агенту або не захоўваецца зусім.

Выберыце сцяг, які адпавядае жыццёваму цыклу. Звязка ключоў працоўнага стала, разблакаваная пасля ўваходу, недаступная службе, якая запускаецца да ўваходу, таму профіль, які працуе інтэрактыўна, можа пацярпець няўдачу пры загрузцы без якіх-небудзь змен у профілі. Гэтая няўдача выглядае як зламаны профіль, а насамрэч гэта неадпаведнасць раскладу.

Паспяховае захаванне таксама не даказвае, што патрэбны агент адкажа на наступны запыт. Захоўвайце ўладанне ўліковым запісам і закрытым ключом, замест капіяваць кожны сакрэт у даступны сістэме файл толькі дзеля цішыні ў дыялогу.

Чытайце наступныя этапы асобна

Пасля захавання профілю агледзіце яго ідэнтыфікатар, канцавы пункт, плагін і метад, не запытваючы сакрэтных значэнняў. Імпарт ад аператара можа дапамагчы, але імпарт — гэта ўласны аналізатар з уласнымі падтрымоўванымі магчымасцямі, таму адхілены імпарт — не тая самая няўдача, што адхіленае захаванне.

Толькі тады актывуйце праз прызначаны менеджэр і ўліковы запіс, якога ён чакае. Памылка ідэнтычнасці сервера, адхілены ўліковы запіс, адсутны маршрут і адхілены дазвол праграмы належаць да позніх этапаў, і паведамленне пра іх як пра праблему рэдактара скіроўвае расследаванне не туды.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Corp VPN" | grep -E "vpn\.|802-1x"

Калі «Захаваць» застаецца неактыўнай з задокументаванымі данымі, запішыце версію рэдактара, версію плагіна, выбраны метад і дакладную лакальную памылку. Справаздача, якая называе сапраўдны профіль, які рэдактар не можа прадставіць, карысная; паслядоўнасць выпадковых уліковых даных, якая на імгненне зрабіла кнопку актыўнай, — не.