Per què l’editor de VPN no desa un perfil nou

El botó Desa continua gris mentre tots els camps semblen plens, i la passarel·la encara no ha vist ni un sol paquet. No s’ha rebutjat res, perquè no s’ha enviat res. El control reflecteix el que l’editor local pot verificar del perfil que té al davant. És una pregunta més estreta que la de si el compte funciona, i es respon sense la xarxa.

El botó reflecteix la validació local

Un control desactivat té més d’una causa local, i des de fora totes semblen iguals. Pot faltar una referència obligatòria, un fitxer referenciat pot ser il·legible per a l’usuari que executa l’editor, o el connector que gestionaria el mètode triat pot no estar instal·lat de cap manera. Els problemes de permisos al propi perfil produeixen el mateix botó gris que un camp buit.

Llegiu el missatge de validació abans d’editar res, perquè el missatge anomena el camp al qual l’editor s’oposa. Endevinar el formulari és més lent que llegir l’única frase que l’editor ja ha escrit.

Ajustar els camps al mètode triat

Les entrades necessàries deriven del mètode de connexió, no del disseny del diàleg. Una identitat de certificat necessita un certificat de client i accés a la seva clau privada corresponent, i encara necessita una manera de verificar el servidor. Un mètode basat en compte té altres requisits i també necessita verificació del servidor. Alguns desplegaments exigeixen tots dos alhora, per això un formulari que sembla redundant sovint és correcte.

Utilitzeu el perfil admès i les instruccions d’inscripció de l’operador en lloc de muntar els camps per intuïció. Posar un certificat de client al camp CA, tractar un certificat públic com a clau privada o escriure la contrasenya d’un compte en una caixa de frase de contrasenya de clau privada són errors comuns i tots produeixen la mateixa negativa silenciosa a desar.

Comproveu cada referència com l’objecte que pretén ser. Un nom de fitxer amb el sufix correcte no demostra res sobre la llegibilitat, la propietat o la pertinença a aquesta identitat. Una clau privada que només root pot llegir no es carrega en una sessió d’escriptori, i l’editor ho informa com un error de validació i no com un error de permisos.

Canviar el mètode només perquè el botó es pugui clicar canvia el significat del perfil. Escriure contrasenyes escombraries i després tornar enrere pot deixar valors desats que ningú volia. També oculta el requisit que realment faltava, que torna com un error de connexió una hora més tard.

Separar els secrets desats dels secrets de l’agent

Certa informació pertany al perfil desat i una altra credencial es pot fornir de manera interactiva en l’activació. L’API de connexions de NetworkManager manté la verificació de la connexió, la verificació de secrets i el descobriment de secrets com a operacions separades, i la seva pròpia documentació adverteix que les pistes no sempre poden determinar tot el que una connexió necessita.

Aquesta distinció explica un camp de contrasenya buit. Pot ser correcte perquè un agent de secrets forneix el valor, i pot ser incorrecte perquè aquesta connexió no té cap agent disponible. Els indicadors associats a un secret decideixen si és propietat del sistema, de l’agent o si no es desa de cap manera.

Trieu l’indicador que correspongui al cicle de vida. Un clauer d’escriptori que es desbloqueja després d’iniciar sessió no està disponible per a un servei que arrenca abans de l’inici de sessió, així que un perfil que funciona de manera interactiva pot fallar a l’arrencada sense cap canvi al perfil. Aquesta fallada sembla un perfil trencat i en realitat és un desajustament de planificació.

Un desat correcte tampoc no demostra que l’agent previst respongui a la sol·licitud següent. Mantingueu la propietat del compte i de la clau privada en lloc de copiar cada secret a un fitxer llegible pel sistema només per calmar el diàleg.

Llegir les etapes posteriors per separat

Un cop desat el perfil, inspeccioneu-ne l’identificador, el punt de connexió, el connector i el mètode sense demanar valors secrets. Una importació fornida per l’operador pot ajudar, però importar és el seu propi analitzador amb funcions admeses pròpies, així que una importació rebutjada no és la mateixa fallada que un desat rebutjat.

Només llavors activeu a través del gestor previst i del compte que aquest espera. Un error d’identitat del servidor, un compte rebutjat, una ruta que falta i un permís d’aplicació denegat pertanyen tots a etapes posteriors, i denunciar-los com a problema de l’editor envia la investigació al lloc equivocat.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Corp VPN" | grep -E "vpn\.|802-1x"

Si Desa continua desactivat amb les entrades documentades, anoteu la versió de l’editor, la versió del connector, el mètode seleccionat i l’error local exacte. Un informe que anomena el perfil vàlid que l’editor no pot representar és útil; una seqüència de credencials aleatòries que va fer clicable el botó per un moment no ho és.