NM OpenVPN: el perfil desat no és el vostre fitxer .ovpn

El mateix .ovpn fitxer es connecta des d'una shell i expira després d'importar-lo a NetworkManager. La conclusió natural és que la VPN està trencada. L'explicació més probable és més petita: NetworkManager no va conservar el fitxer, va importar una part a una connexió desada i el túnel en curs utilitza aquestes dades desades. El que digui ara el fitxer és irrellevant per al que conté el perfil.

El fitxer no és el perfil

La importació és una traducció, no un muntatge. Les opcions que el connector entén es converteixen en claus del vpn.data diccionari de la connexió; les opcions que no entén es descarten o es registren en un altre lloc, i el camí original només és una referència. Editar el fitxer d'origen després no canvia res de la connexió que ja està desada.

Aquest buit explica tota una família d'informes: la clau compartida es va rotar, el fitxer es va actualitzar i el túnel encara falla. El perfil desat encara apunta al camí antic o al valor antic, i la línia d'ordres continua funcionant perquè llegeix el fitxer que heu editat. Dos clients, dues fonts de veritat, i només una d'elles es va actualitzar.

Llegiu el perfil desat, no el diàleg

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Utilitzeu l'UUID quan dos perfils comparteixin nom i confirmeu que el tipus de servei és el OpenVPN connector que espereu, no un altre tipus de VPN que casualment estigui instal·lat. Després compareu el punt final, el transport i les referències de certificat amb la invocació que funciona.

Un valor visible en un editor gràfic no és prova que s'hagi desat. Deseu, torneu a obrir i llegiu-lo de nou per la línia d'ordres; els defectes històrics de desament són una raó per comprovar les dades desades, no una prova que totes les versions actuals tinguin el mateix error. La comprovació costa una ordre.

Dues claus i una direcció que importa

Per a una connexió que utilitza autenticació TLS, el connector desa el camí de la clau compartida a ta i la direcció a ta-dir quan el desplegament n'utilitza una. Totes dues viuen al diccionari de dades del perfil i totes dues han de coincidir amb el que espera el servidor.

La direcció és una decisió del servidor expressada al client. Triar-ne una perquè un perfil veí la té és com una clau que funciona acaba fallant un intercanvi de mans. Si la configuració del servidor no té direcció, el client no hauria d'inventar-ne una.

El fitxer de clau mateix ha de ser llegible pel connector en el context en què realment s'executa. Un paquet confinat té una vista del sistema de fitxers diferent de la d'una instal·lació d'escriptori normal, així que un camí que existeix a la vostra shell pot ser invisible per al servei.

Actualitzeu una entrada, no el diccionari

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

El signe més inicial actualitza entrades individuals del diccionari. Assignar vpn.data sense ell substitueix tot el diccionari, i així és com una clau que falta es converteix en cinc paràmetres trencats. Torneu a llegir el perfil després del canvi i confirmeu que les altres entrades han sobreviscut. Un diccionari que ha perdut el punt final remot i els certificats és una tarda molt més llarga que la que vau començar.

Torneu a connectar amb els controls normals i observeu l'etapa que falla. Si la porta de la clau compartida ara passa i el client informa d'un error de certificat o d'autenticació d'usuari, heu avançat i la propera investigació és una altra.

No confongueu els modes del canal de control

tls-auth, tls-crypt, i tls-crypt-v2 són disposicions diferents. Un fitxer de clau que sembla similar no els fa intercanviables, i omplir els camps TLS-Auth perquè un altre perfil conté una clau formatada produeix un perfil que falla d'una manera que sembla una clau incorrecta.

Utilitzeu el mapatge del connector que coincideixi amb el mode de la configuració del servidor. Quan el mode no és clar, pregunteu al propietari del servidor en lloc d'endevinar-ho per la primera línia del fitxer.

Manteniu una via de recuperació quan el túnel porti la vostra sessió de gestió. Un canvi desat no és necessàriament un canvi aplicat, i una importació correcta no és prova que totes les opcions d'origen fossin compatibles. Val la pena conèixer tots dos buits abans de reconnectar l'enllaç pel qual treballeu.