Wi-Fi se připojí samo; VPN potřebuje sekundární asociaci

Notebook se připojí k Wi-Fi, než si sednete, a VPN přesto čeká na kliknutí. Nastavení automatického připojení u profilu VPN nic nezmění, protože ten přepínač řídí vlastní aktivaci profilu a NetworkManager považuje VPN za průvodce základního připojení. Dokumentovaným mechanismem je seznam sekundárních připojení základního připojení, a to je jiná vlastnost na jiném místě.

Automatické připojení není přepínač VPN

Profil Wi-Fi nebo Ethernet se může aktivovat sám, protože vlastní zařízení. Profil zásuvného modulu VPN nevlastní zařízení ve stejném smyslu; spouští se vedle připojení, které ho vlastní. Proto příznak automatického připojení u VPN vypadá správně, ukládá se správně a nevytváří žádný tunel. Příznak odpovídá na otázku o profilu, ne o síti, kterou potřebuje.

Takové čtení modelu vysvětluje i režim selhání. Základ se připojí, nic nežádá VPN o start a plocha ukazuje odpojenou VPN vedle připojené sítě. Nic není rozbité; asociace prostě nikdy nevznikla.

Určete oba profily podle UUID

nmcli -f NAME,UUID,TYPE connection show

Vyberte profil Wi-Fi nebo Ethernet, který má tunel spustit, a poté zamýšlený profil VPN. Používejte UUID místo jmen, protože jméno je štítek, který lze duplikovat nebo upravit, a UUID je to, co aktivační cesta skutečně vyhodnocuje.

Nezaměňujte název profilu s názvem rozhraní nebo adresou, kterou stroj právě má. Jsou to tři různé identifikátory, které v terminálu náhodou vypadají podobně, a jejich smíchání vytvoří úpravu namířenou nikam.

Přidejte VPN k základnímu připojení

nmcli connection modify uuid "PRIMARY_UUID" +connection.secondaries "VPN_UUID"

Forma s plusem přidává k existujícímu seznamu; pokud ji vynecháte, seznam se nahradí, což tiše odstraní každé další sekundární připojení, které už bylo nastaveno. Nejprve si prohlédněte aktuální hodnotu a poznamenejte si ji, než cokoli změníte.

Nastavení připojení NetworkManageru popisuje sekundární připojení jako VPN připojení spouštěná spolu se základním připojením. Zda je nativní profil WireGuard stejným druhem objektu, závisí na tom, jak ho NetworkManager spravuje, takže stejný příkaz může být nesprávný nástroj pro tunel, který se objevuje jako rozhraní, nikoli jako zásuvný modul VPN.

Toto je změna politiky připojení, ne přepínač za běhu. Použijte ji prostřednictvím procesu opětovného připojení, který nasazení schválí, a očekávejte, že první aktivace po změně se bude chovat jinak než relace, ve které právě sedíte.

Tajemství nejsou součástí asociace

Sekundární záznam říká „spusť toto s tamtím“. Nic v něm nepředává heslo, neodemyká klíčenku ani neodpovídá na výzvu. Profil, který se po přihlášení k ploše hladce autentizuje, může stále selhat, když se aktivuje v kontextu, kde agent tajemství není k dispozici.

Pro skutečné nasazení použijte podporované systémové uspořádání nebo uspořádání s agentem tajemství. Ukládání hesel všech do skriptu, aby tunel mohl startovat bez dozoru, přeměňuje návrh autentizace na soubor, který přežije zaměstnání svého vlastníka.

Přečtěte obě události a potom zkontrolujte prostředek

Během jednoho pokusu sledujte základní připojení i aktivaci VPN. Chybějící událost VPN znamená, že spouštěč nebyl nikdy nastaven nebo je UUID špatné. Událost VPN následovaná selháním autentizace znamená, že spouštěč proběhl a zbývajícím problémem jsou přihlašovací údaje, což je jiná oprava.

Po aktivaci si vyžádejte prostředek, který byl důvodem nastavení, místo abyste věřili ikoně. Potom se záměrně odpojte a sledujte, co se stane dál, protože asociace automatického startu není bezpečnostní vypínač a neslibuje nekonečné opakování. Pokud je požadavek „žádný provoz bez tunelu“, je to samostatná politika, která potřebuje vlastní konfiguraci a vlastní test. Záměna obojího je způsob, jak stroj skončí v opakovaném připojování ve smyčce, zatímco uživatel věří, že je chráněn.