Control gris de NetworkManager? Comproveu la propietat abans que els permisos

Els commutadors VPN en gris del menú de l'escriptori diuen que alguna cosa va malament i res sobre què. Això és una observació, no un diagnòstic. Tres fronteres diferents poden produir el mateix control mort: potser NetworkManager no posseeix el dispositiu, potser la sessió no té el permís per canviar-lo o potser el connector de l'editor VPN no està instal·lat gens. Canviar la frontera equivocada és com una solució de cinc minuts es converteix en un matí reinstal·lant paquets.

Tres ordres només de lectura separen els casos abans que es modifiqui res.

Feu les tres preguntes en ordre

nmcli device status
nmcli general permissions
nmcli connection show

Són ordres d'inspecció per a un sistema que realment utilitza NetworkManager i és segur executar-les com a usuari normal. Mantingueu els detalls privats de la connexió fora dels registres públics si enganxeu la sortida en algun lloc.

L'estat del dispositiu respon si la interfície està gestionada i és utilitzable. La vista de permisos respon què pot fer la sessió que crida. La llista de connexions mostra quins perfils existeixen; no demostra que hi hagi instal·lat un editor VPN o un connector d'importació corresponent.

La propietat i el permís són fallades diferents

Un dispositiu marcat com a no gestionat queda fora del control de NetworkManager i cap quantitat de permisos produirà un commutador que funcioni. El connector ifupdown és una causa habitual: la seva opció gestionada decideix com es tracten les entrades del fitxer interfaces, i una secció sobrera pot mantenir una interfície sota les eines antigues. L'existència del fitxer no és una instrucció per esborrar-ne el contingut, i eliminar entrades que no heu escrit és una bona manera de perdre la connectivitat.

El permís és un eix a part. NetworkManager autoritza els cridadors que no són root mitjançant PolicyKit, i la resposta informada pot ser sí, auth o no. Una sessió sense agent d'autenticació informa auth i després falla en silenci a l'escriptori, cosa que sembla un control trencat més que un agent absent.

No arregleu cap dels dos executant l'escriptori com a root

Executar tota la sessió com a root per fer funcionar un commutador canvia el model de seguretat de cada aplicació de la màquina. També amaga la configuració incorrecta subjacent en lloc de documentar-la. Si una acció necessita autorització administrativa, aquest és el disseny previst, i la solució pertany a la política o a com s'inicia l'agent.

Igualment, no inicieu una segona còpia de NetworkManager ni un dimoni competidor. Dos gestors que discuteixen pel mateix dispositiu produeixen un estat difícil de raonar i encara més difícil de suportar. Si un segon dimoni sembla l'única manera de recuperar un control, la configuració del primer gestor és el que cal arreglar. Atureu el dimoni extra abans de canviar res més, o la prova següent mesurarà tots dos alhora.

La qüestió del connector també és sobre l'editor

Crear o importar una connexió VPN necessita el connector que proporciona aquest tipus de connexió, i en un escriptori normalment també cal una integració amb l'editor. El paquet del costat del servei pot ser-hi mentre falta el formulari de l'editor, i per això una entrada de menú pot existir i tot i així fallar. Comproveu les dues meitats contra l'empaquetament de la distribució en lloc de suposar que un sol paquet ho instal·la tot.

Un binari de client independent tampoc no és una prova. Instal·lar un binari d'OpenVPN no dona per si sol a l'editor de l'escriptori un formulari per crear un perfil d'OpenVPN.

Corregiu la frontera responsable i després verifiqueu

Un cop sapigueu quina frontera està malament, canvieu només aquella. Marcar un dispositiu com a gestionat, concedir un permís o instal·lar un paquet d'editor són tres operacions diferents amb tres perfils de risc diferents, i barrejar-les fa impossible atribuir el resultat. Si la propietat ha de moure's, feu-ho amb accés per consola o fora de banda disponible, perquè un error allà pot eliminar la xarxa que feu servir per arreglar-ho.

Després verifiqueu amb el compte real i el perfil real: confirmeu la ruta, la vista de DNS i on es guarda el secret. Els botons activats són un estat de la interfície, no una prova que el túnel funcioni. Anoteu l'estat del dispositiu, la resposta del permís i la versió del connector al tiquet, perquè la persona següent sàpiga quina frontera ha canviat realment.