Keyfile, nebo Netplan: kde je profil VPN skutečně uložen?

Najít soubor, který jste importovali, je ta snadná část a často špatný začátek. Důležité je, který soubor dnes NetworkManager čte jako uložené připojení, a to závisí na identifikátoru připojení a na konfiguračním backendu, který nainstalované balíčky skutečně používají. Upravovat import dřív, než je na tuto otázku odpovězeno, je způsob, jak se z funkční VPN stanou dvě napůl správné konfigurace.

Importovaný soubor není uložený profil

Kolem každého problému s VPN krouží tři názvy: název připojení, název souboru, který jste importovali, a virtuální rozhraní, které se objeví, když tunel vstane. Žádný z nich neidentifikuje uloženou konfiguraci a název připojení lze upravit, zatímco soubor za ním si drží původní identifikátor.

Začněte inventářem pouze pro čtení a vyberte zamýšlenou VPN podle identifikátoru, nikoli podle štítku:

nmcli -f NAME,UUID,TYPE connection show

Nechte názvy hostitelů koncových bodů a štítky identity mimo jakýkoli inventář, který vložíte do tiketu. Užitečná část je typ a identifikátor; zbytek je kontext, který cizí člověk nepotřebuje. Zbylé údaje před sdílením začerněte a řekněte, že jste to udělali, aby se nikdo nedivil, co ty mezery znamenají.

Umístění keyfile neznamenají totéž

S nativním pluginem keyfile se soubory připojení mohou objevit ve třech adresářích a rozdíl mezi nimi je trvalost, ne pohodlí.

Úprava běhové kopie vypadá úspěšně až do dalšího startu, kdy změna vyprchá a soubor vypadá záhadně vrácený. Úprava kopie dodané balíčkem funguje, dokud ji aktualizace nenahradí, což je pomalejší a matoucí verze stejné lekce.

Dokumentace keyfile dodává detail, který stojí za respekt: tyto soubory mohou obsahovat soukromé klíče a hesla a NetworkManager ignoruje každý keyfile, který mohou číst nebo zapisovat uživatelé jiní než root. Rozšíření oprávnění adresáře kvůli hledání nastavení rozbije chování načítání, které jste se snažili prozkoumat.

Když trvalost vlastní Netplan

Na Ubuntu integrace NetworkManageru popsaná v dokumentaci Netplanu, dostupná od verze 23.10, mění místo, kde trvalá kopie žije. Pro netrvalá připojení zapisuje /etc/netplan/90-NM-<connection UUID>.yaml a generuje efemérní profil NetworkManageru pod /run/NetworkManager/system-connections/.

To je integrace distribuce, ne pravidlo pro každou instalaci NetworkManageru. Než půjdete hledat soubor YAML, ověřte, že ji nainstalované balíčky skutečně používají. Pamatujte také, že běhový profil může být vygenerovaným ztvárněním něčeho jiného, ne zdrojem, který stojí za úpravu. Dvě příkazy ověření ušetří hodinu úprav špatného souboru.

Dokumentovaný příklad ukládá připojení OpenVPN přes typ Netplanu nm-devices s předávacími daty NetworkManageru. To, že Netplan nemá zvláštní výklad určitého pole VPN, neznamená, že vaše uložená VPN je ztracena; znamená to, že pole cestuje jako neprůhledná data.

Přechodná rozhraní nejsou profily

Aktivace vytváří dočasná virtuální připojení a rozhraní, která nikdy neměla přetrvávat. Integrace záměrně nezapisuje pro každé z nich nový soubor YAML, takže jejich nepřítomnost v /etc/netplan nic neříká o tom, zda je nadřazený profil uložen.

Pokud honíte soubor, který se objevuje a mizí, pravděpodobně se díváte na jeden z nich, a ne na svou konfiguraci. Ověřte, zda přežije restart, než z jeho obsahu uděláte jakýkoli závěr. Běhový soubor, který při restartu zmizí, vám říká, že nikdy nebyl zdrojem, a toto jediné pozorování přeorientuje celé vyšetřování. Vysvětluje také, proč úprava tehdy vypadala úspěšně.

Tajemství a vlastnictví

Profil může odkazovat na certifikát nebo klíč uložený úplně jinde a heslo může patřit NetworkManageru, být dodáno tajným agentem uživatelské relace, nebo být záměrně neuloženo. Nalezení jednoho souboru tedy vyřeší jen velmi málo o tom, co bude bezobslužný start vyžadovat.

Prohlédněte odkazy a příznaky tajemství, aniž byste vypisovali tajné hodnoty. Přihlášení k ploše může zpřístupnit agenta, který při bootu chyběl, a zkopírování vygenerovaného běhového souboru tohoto agenta nezreprodukuje. Praktickým příznakem je tunel, který se připojí, když se člověk přihlásí, a selže, když stroj startuje sám. Tento vzorec ukazuje na vlastnictví tajemství, ne na směrování.

Provádějte schválené změny přes správce, který připojení vlastní, a potom ověřte jak uložený identifikátor, tak efektivní připojení. Držte jednoho trvalého vlastníka, protože nezávislá úprava importu, vygenerovaného keyfile a zdroje YAML nechává tři soupeřící vysvětlení toho, co použije příští opětovné připojení. Vyberte to, co skutečně přetrvává, upravte jen to a poznamenejte do tiketu, který soubor jste považovali za směrodatný. Další člověk vám poděkuje za jeden řádek původu.