Един профил, двама собственици: NetworkManager или systemd

С файл .ovpn не се случва нищо, докато нещо не го притежава. На десктоп с Pi вероятните собственици са NetworkManager, който пази импортирана връзка в собствен keyfile, и отделен service unit, който чете конфигурация от директория. Това са два модела на работа с различно съхранение, различно боравене с идентификационни данни и различни правила за активиране. Съзнателният избор на един от тях е цялата задача; копирането на файла на двете места просто прави избора случаен.

И двете могат да работят на една машина, но не по един и същ тунел в един и същ момент, а конфликтът изглежда като мрежова повреда, не като конфигурационна.

Два начина да притежаваш един и същ тунел

Плъгинът OpenVPN на NetworkManager добавя редактор и услуга, които управляват връзката вместо вас, а инсталирането на програмата OpenVPN не инсталира тази интеграция. Отделният unit е обратната подредба: без редактор, без интеграция с десктопа, един конфигурационен файл и каквито права даде unit-ът. Първият пази състоянието на връзката в собствена база данни, вторият го пази там, където кажат профилът и unit-ът. Повечето объркване идва от допускането, че импортиран профил и копиран файл са един и същ обект.

Това не са два изгледа на едно нещо. Редактирането на изтегления файл не променя нито какво е запазил NetworkManager, нито какво чете unit-ът, и всеки от тях може да е този, който е изградил тунела, който току-що тествахте.

Следвайте връзката, която десктопът наистина използва

Документираната операция за импорт, nmcli connection import type openvpn file office.ovpn, създава връзка чрез плъгина. Запишете нейния UUID и използвайте този идентификатор след това, защото имената се редактират и две връзки могат да споделят един етикет. nmcli connection show изброява какво съществува, а четенето на собствените свойства на връзката ви казва от кой файл идва и какво пази. Ако UUID, който редактирате, не е този, който десктопът активира, редакциите ви са украшение.

Тайните живеят в хранилището на собственика. Изхвърлянето на всяка запазена тайна, за да разберете кой профил е активен, е бавно и рисковано; питайте обекта на връзката вместо това и пазете личния материал там, където собственикът го очаква.

Импортираната връзка не се нуждае от графична сесия, за да работи, но може да се нуждае от източник на идентификационни данни. Дали ще стартира без надзор зависи от правата и тайните ѝ, не от присъствието на десктопа.

Прочетете шаблона на unit-а, преди да разчитате на него

Когато пакетът доставя клиентски unit в стил upstream, инстанция с име office съответства на %i.conf в конфигурираната директория на unit-а, която за шаблона 2.6 е /etc/openvpn/client. Прочетете инсталирания unit и всякакви допълнителни файлове, преди да се доверите на пример от ръководство, защото дистрибуциите местят пътища. Ръчното стартиране от терминал не доказва нищо за представата на услугата за файлове, тайни или права. Диалогът за парола на десктопа също не е доказателство, че неинтерактивен unit има одобрен начин да получи същата парола.

Дайте на unit-а само каквото му трябва. Разхлабването на целия sandbox на услугата, защото един рефериран файл е нечетим, разменя малка поправка на права срещу голяма експозиция, а грешката обикновено назовава файла, който се нуждае от внимание.

Оттеглете дубликата, без да губите достъп

Ако и двамата собственици могат да стартират тунела, един в крайна сметка печели в грешния момент и маршрутите и устройството на загубилия остават назад. Премахнете случайния дубликат чрез собствения му собственик, запазете път за възстановяване отворен и потвърдете, че останалият собственик все още се свързва след рестарт. Две съзнателно отделни VPN с различни политики за маршрутизиране са друг въпрос на дизайн, а не разрешение два пътя за стартиране да се състезават за една връзка.

След това запишете жизнения цикъл, който сте приели: ръчно активиране, вход или зареждане и повторно свързване. Проверете запазения край, удостоверяването на партньора и ресурса, който тунелът трябва да достигне, защото преинсталирането на десктопа не замества знанието коя конфигурация е работила.