Graue NetworkManager-Steuerung? Prüfen Sie den Besitz vor den Berechtigungen

Graue VPN-Schalter im Desktopmenü melden, dass etwas nicht stimmt, und nichts darüber, was. Das ist eine Beobachtung, keine Diagnose. Drei verschiedene Grenzen können dieselbe tote Steuerung erzeugen: NetworkManager besitzt das Gerät vielleicht nicht, der Sitzung fehlt vielleicht die Berechtigung, es zu ändern, oder das VPN-Editor-Plugin ist vielleicht gar nicht installiert. Die falsche Grenze zu ändern ist der Weg, auf dem aus einer Fünf-Minuten-Korrektur ein Nachmittag voller Paketneuinstallationen wird.

Drei reine Lesebefehle trennen die Fälle, bevor irgendetwas geändert wird.

Stellen Sie die drei Fragen der Reihe nach

nmcli device status
nmcli general permissions
nmcli connection show

Dies sind Prüfbefehle für ein System, das NetworkManager tatsächlich verwendet, und sie lassen sich als normaler Benutzer gefahrlos ausführen. Halten Sie private Verbindungsdetails aus öffentlichen Protokollen heraus, wenn Sie die Ausgabe irgendwo einfügen.

Der Gerätestatus beantwortet, ob die Schnittstelle verwaltet und nutzbar ist. Die Berechtigungsansicht beantwortet, was die aufrufende Sitzung tun darf. Die Verbindungsliste zeigt, welche Profile existieren; sie beweist nicht, dass ein passender VPN-Editor oder ein Import-Plugin installiert ist.

Besitz und Berechtigung sind verschiedene Fehler

Ein als nicht verwaltet markiertes Gerät liegt außerhalb der Kontrolle von NetworkManager, und keine Menge an Berechtigungen erzeugt einen funktionierenden Schalter. Das ifupdown-Plugin ist eine häufige Ursache: Seine verwaltete Einstellung entscheidet, wie Einträge in der Datei interfaces behandelt werden, und ein übrig gebliebener Abschnitt kann eine Schnittstelle unter der alten Werkzeugkette halten. Die Existenz der Datei ist keine Anweisung, ihren Inhalt zu löschen, und Einträge zu entfernen, die Sie nicht geschrieben haben, ist ein guter Weg, die Verbindung zu verlieren.

Die Berechtigung ist eine eigene Achse. NetworkManager autorisiert Aufrufer ohne root über PolicyKit, und die gemeldete Antwort kann ja, auth oder nein sein. Eine Sitzung ohne Authentifizierungsagent meldet auth und scheitert dann still auf dem Desktop, was wie eine kaputte Steuerung aussieht und nicht wie ein fehlender Agent.

Beheben Sie keines von beidem, indem Sie den Desktop als root ausführen

Die gesamte Sitzung als root auszuführen, damit ein Schalter funktioniert, verändert das Sicherheitsmodell jeder Anwendung auf dem Rechner. Es verbirgt außerdem die zugrunde liegende Fehlkonfiguration, statt sie zu dokumentieren. Wenn eine Aktion eine administrative Autorisierung benötigt, ist das die beabsichtigte Konstruktion, und die Korrektur gehört in die Richtlinie oder in die Art, wie der Agent gestartet wird.

Starten Sie ebenso wenig eine zweite Kopie von NetworkManager oder einen konkurrierenden Daemon. Zwei Manager, die um dasselbe Gerät streiten erzeugen einen Zustand, über den schwer zu urteilen und der noch schwerer zu unterstützen ist. Wenn ein zweiter Daemon der einzige Weg zu sein scheint, eine Steuerung zurückzubekommen, ist die Konfiguration des ersten Managers das, was repariert werden muss. Beenden Sie den zusätzlichen Daemon, bevor Sie etwas anderes ändern, sonst misst der nächste Test beide gleichzeitig.

Die Plugin-Frage betrifft auch den Editor

Das Erstellen oder Importieren einer VPN-Verbindung benötigt das Plugin, das diesen Verbindungstyp bereitstellt, und auf einem Desktop meist auch eine Editor-Integration. Das Paket auf der Dienstseite kann vorhanden sein, während das Editorformular fehlt, weshalb ein Menüeintrag existieren und trotzdem scheitern kann. Prüfen Sie beide Hälften anhand der Paketierung der Distribution, statt anzunehmen, ein Paket installiere alles.

Ein eigenständiges Client-Binärprogramm ist ebenfalls kein Beweis. Die Installation eines OpenVPN-Binärprogramms gibt dem Desktop-Editor nicht von selbst ein Formular zum Anlegen eines OpenVPN-Profils.

Korrigieren Sie die verantwortliche Grenze und prüfen Sie dann

Wenn Sie wissen, welche Grenze falsch ist, ändern Sie nur diese. Ein Gerät als verwaltet zu markieren, eine Berechtigung zu erteilen oder ein Editorpaket zu installieren sind drei verschiedene Vorgänge mit drei verschiedenen Risikoprofilen, und ihre Vermischung macht das Ergebnis nicht mehr zuordenbar. Muss der Besitz wechseln, tun Sie das mit verfügbarem Konsolen- oder Out-of-Band-Zugang, denn ein Fehler dort kann das Netz entfernen, mit dem Sie ihn beheben.

Prüfen Sie dann mit dem echten Konto und dem echten Profil: Bestätigen Sie die Route, die DNS-Ansicht und wo das Geheimnis gespeichert ist. Aktivierte Schaltflächen sind ein Oberflächenzustand, kein Beweis, dass ein Tunnel funktioniert. Notieren Sie Gerätestatus, Berechtigungsantwort und Plugin-Version im Ticket, damit die nächste Person weiß, welche Grenze sich tatsächlich geändert hat.