Списък на VPN с nmcli: запазени профили срещу активни тунели

Изпълнявате nmcli connection show с очакване за списък на VPN и получавате всяка връзка, която машината някога е запазвала, включително мост и hotspot. VPN, който търсите, може да е там, да е с тип, различен от vpn, или изобщо да не е връзка на NetworkManager. Да разберете в кой от тези три случая сте, изисква две команди.

Два списъка, два въпроса

connection show отговаря какво е запазил NetworkManager, а connection show --active — какво е прикачено към устройство в момента. Първият списък включва неактивни профили и това е умишлено: запазен VPN, който не работи, все още е профил, който може да се наложи да поправите. Объркването на двата създава впечатление, че тунел работи, докато съществува само конфигурацията му.

Избирайте полета, вместо да четете таблицата по подразбиране, защото изходът по подразбиране скрива типа на тесни терминали и пренася дълги имена.

NAME, UUID и TYPE обикновено са всичко, което ви трябва за първи преглед, а после проверявате единствения запис, който ви интересува, по UUID.

TYPE е мястото, където са изненадите

OpenVPN връзките, управлявани през приставката, се показват с тип vpn, защото приставката е услуга вътре в общата VPN рамка. Родната поддръжка на WireGuard е самостоятелен първокласен тип връзка, затова филтриране по vpn няма да я намери. Търсене на тунел WireGuard, което не връща нищо, обикновено е проблем с филтъра, а не липсващ профил. Това е архитектурна разлика, а не прищявка в именуването.

Същото важи и за други типове тунели, които NetworkManager с времето се научи да обработва родно, затова прочетете колоната TYPE, преди да заключите, че нещо липсва.

Избройте всичко и филтрирайте след това, и профилът се появява.

Четете UUID, не само името

Имената са етикети, които хората редактират, и два профила могат да споделят едно след невнимателен импорт. UUID е идентичността, на която сочат командите и файловете. Когато запис изглежда дублиран, сравнете UUID и основните настройки, преди да изтриете нещо.

Командите за активиране приемат и двете, точно затова навикът да се разчита на име в крайна сметка променя грешния профил.

Копирайте UUID в бележките си, когато променяте нещо, което може да се наложи да отмените.

Какво не ви казва запазеният профил

Запазеният профил не казва нищо за това дали тунелът му е вдигнат, а активната връзка не казва нищо за това дали трафикът в нея работи. Тунел, стартиран от wg-quick или от service unit, е изобщо не връзка на NetworkManager, затова липсва и в двата списъка, докато интерфейсът очевидно пропуска трафик. Проверете интерфейса и таблицата за маршрутизация, преди да приемете, че профилът липсва. Празният списък доказва само, че NetworkManager не е собственикът.

Двама мениджъри за един и същ интерфейс са другата версия на този проблем и тя дава списък, който изглежда правилен, докато състоянието на ядрото се държи от нещо друго.

Един собственик на интерфейс държи списъка честен, а справката за nmcli документира кои полета всъщност отчита всеки изглед.

Докладвайте, без да изтичате тайни

connection show с име отпечатва настройки, а добавянето на --show-secrets отпечатва частните ключове и паролите заедно с тях. За отстраняване на проблем в тикет те не са нужни. Вместо това докладвайте типа, UUID, състоянието и съответните маршрути, и заличавайте всичко, което идва от хранилище за тайни.

Интерактивното активиране с --ask е поддържаният начин да подадете липсващи идентификационни данни, а автоматизацията без надзор изисква друга одобрена схема, вместо запазена парола в открит текст.

Кратък доклад със заличени данни се преглежда по-лесно от пълен дъмп.