Un perfil, dos propietaris: NetworkManager o systemd

No passa res amb un fitxer .ovpn fins que alguna cosa el posseeix. En un escriptori Pi els propietaris plausibles són NetworkManager, que desa una connexió importada al seu propi fitxer de claus, i una unitat de servei independent que llegeix una configuració d'un directori. Són dos models de funcionament amb emmagatzematge diferent, tractament diferent de les credencials i regles d'activació diferents. Triar-ne un deliberadament és tota la feina; copiar el fitxer als dos llocs només fa que la tria sigui accidental.

Tots dos poden funcionar en una màquina, però no en el mateix túnel al mateix moment, i el conflicte sembla una fallada de xarxa i no una de configuració.

Dues maneres de posseir el mateix túnel

El connector OpenVPN de NetworkManager afegeix un editor i un servei que gestionen la connexió per vosaltres, i instal·lar el programa OpenVPN no instal·la aquesta integració. Una unitat independent és el plantejament contrari: sense editor, sense integració amb l'escriptori, un sol fitxer de configuració i els privilegis que atorgui la unitat. La primera desa l'estat de la connexió a la seva pròpia base de dades, la segona el desa allà on diguin el perfil i la unitat. La major part de la confusió ve de suposar que un perfil importat i un fitxer copiat són el mateix objecte.

No són dues visions d'una sola cosa. Editar el fitxer baixat no canvia ni el que ha desat NetworkManager ni el que llegeix la unitat, i qualsevol dels dos pot ser el que va construir el túnel que acabeu de provar.

Seguiu la connexió que l'escriptori fa servir de debò

L'operació d'importació documentada, nmcli connection import type openvpn file office.ovpn, crea una connexió a través del connector. Anoteu-ne l'UUID i feu servir aquest identificador després, perquè els noms s'editen i dues connexions poden compartir una etiqueta. nmcli connection show llista què existeix, i llegir les propietats de la mateixa connexió us diu de quin fitxer ve i què desa. Si l'UUID que editeu no és el que activa l'escriptori, les vostres edicions són decoració.

Els secrets viuen a l'emmagatzematge del propietari. Abocar tots els secrets desats per esbrinar quin perfil és actiu és lent i arriscat; pregunteu a l'objecte de connexió i guardeu el material privat on el propietari l'espera.

Una connexió importada no necessita una sessió gràfica per funcionar, però pot necessitar igualment una font de credencials. Que s'iniciï sense supervisió depèn dels seus permisos i secrets, no que l'escriptori hi sigui.

Llegiu la plantilla de la unitat abans de confiar-hi

On el paquet inclou la unitat de client a l'estil upstream, una instància anomenada office es correspon amb %i.conf dins del directori configurat de la unitat, que per a la plantilla 2.6 és /etc/openvpn/client. Llegiu la unitat instal·lada i qualsevol fitxer addicional abans de confiar en un exemple d'una guia, perquè les distribucions mouen les rutes. Una execució manual des d'un terminal no demostra res sobre com veu el servei els fitxers, els secrets o els permisos. El diàleg de contrasenya de l'escriptori tampoc no és prova que una unitat no interactiva tingui una manera aprovada d'obtenir la mateixa contrasenya.

Doneu a la unitat només el que necessita. Afluixar tota la caixa de seguretat del servei perquè un fitxer referenciat no és llegible canvia una correcció petita de permisos per una exposició gran, i l'error sol anomenar el fitxer que necessita atenció.

Retireu el duplicat sense perdre l'accés

Si tots dos propietaris poden engegar el túnel, un acabarà guanyant en el moment equivocat i les rutes i el dispositiu del perdedor quedaran enrere. Elimineu el duplicat accidental a través del seu propi propietari, manteniu un camí de recuperació obert i confirmeu que el propietari restant encara es connecta després d'un reinici. Dues VPN deliberadament separades amb polítiques d'encaminament diferents són una altra qüestió de disseny, no un permís perquè dos camins d'inici competeixin per una connexió.

Després anoteu el cicle de vida que heu acceptat: activació manual, inici de sessió, o arrencada i reconnexió. Comproveu el punt final desat, l'autenticació de l'altra part i el recurs que el túnel ha d'assolir, perquè reinstal·lar l'escriptori no substitueix saber quina configuració va córrer.