Wi-Fi verbindet sich selbst; das VPN braucht eine sekundäre Zuordnung

Der Laptop verbindet sich mit Wi-Fi, bevor Sie sich setzen, und das VPN wartet weiterhin auf einen Klick. Autoverbindung am VPN-Profil ändert nichts, weil dieser Schalter die eigene Aktivierung des Profils steuert und NetworkManager ein VPN als Begleiter einer Basisverbindung behandelt. Der dokumentierte Mechanismus ist die sekundäre Liste der Basisverbindung, und das ist eine andere Eigenschaft an einer anderen Stelle.

Autoverbindung ist nicht der VPN-Schalter

Ein Wi-Fi- oder Ethernet-Profil kann sich selbst aktivieren, weil es ein Gerät besitzt. Ein VPN-Plugin-Profil besitzt kein Gerät im selben Sinne; es wird neben einer Verbindung gestartet, die eines besitzt. Deshalb sieht das Autoverbindungs-Flag am VPN richtig aus, speichert korrekt und erzeugt keinen Tunnel. Das Flag beantwortet eine Frage zum Profil, nicht zum Netzwerk, das es braucht.

Das Modell so zu lesen erklärt auch den Fehlermodus. Die Basis verbindet, nichts bittet das VPN zu starten, und der Desktop zeigt ein getrenntes VPN neben einem verbundenen Netzwerk. Nichts ist defekt; die Zuordnung wurde nie hergestellt.

Beide Profile per UUID identifizieren

nmcli -f NAME,UUID,TYPE connection show

Wählen Sie das Wi-Fi- oder Ethernet-Profil, das den Tunnel auslösen soll, dann das vorgesehene VPN-Profil. Verwenden Sie UUIDs statt Namen, denn ein Name ist ein Etikett, das dupliziert oder bearbeitet werden kann, und die UUID ist das, was der Aktivierungspfad tatsächlich auflöst.

Verwechseln Sie einen Profilnamen nicht mit einem Schnittstellennamen oder einer Adresse, die die Maschine gerade hat. Das sind drei verschiedene Bezeichner, die im Terminal zufällig ähnlich aussehen, und sie zu vermischen erzeugt eine Änderung, die auf nichts zielt.

Das VPN an die Basisverbindung anhängen

nmcli connection modify uuid "PRIMARY_UUID" +connection.secondaries "VPN_UUID"

Die Plus-Form hängt an die bestehende Liste an; lässt man sie weg, wird die Liste ersetzt, was jede andere bereits konfigurierte sekundäre Verbindung still entfernt. Prüfen Sie zuerst den aktuellen Wert und notieren Sie ihn, bevor Sie etwas ändern.

Die Verbindungseinstellungen von NetworkManager beschreiben Sekundäre als VPN-Verbindungen, die zusammen mit der Basisverbindung gestartet werden. Ob ein natives WireGuard-Profil dieselbe Art von Objekt ist, hängt davon ab, wie NetworkManager es verwaltet, daher kann derselbe Befehl das falsche Werkzeug für einen Tunnel sein, der als Schnittstelle statt als VPN-Plugin erscheint.

Das ist eine Änderung der Verbindungsrichtlinie, kein Schalter zur Laufzeit. Wenden Sie sie über welchen Wiederverbindungsprozess die Bereitstellung auch genehmigt an, und erwarten Sie, dass sich die erste Aktivierung nach der Änderung anders verhält als die Sitzung, in der Sie jetzt sitzen.

Geheimnisse sind nicht Teil der Zuordnung

Ein sekundärer Eintrag sagt „starte dies mit jenem“. Nichts darin übergibt ein Passwort, schließt einen Schlüsselbund auf oder beantwortet eine Abfrage. Ein Profil, das sich nach einer Desktop-Anmeldung problemlos authentifiziert, kann trotzdem scheitern, wenn es in einem Kontext aktiviert wird, in dem der Secret-Agent nicht verfügbar ist.

Verwenden Sie für die tatsächliche Bereitstellung die unterstützte System- oder Secret-Agent-Regelung. Alle Passwörter in einem Skript zu speichern, damit der Tunnel unbeaufsichtigt starten kann, verwandelt ein Authentifizierungsdesign in eine Datei, die das Arbeitsverhältnis ihres Besitzers überlebt.

Beide Ereignisse lesen, dann die Ressource prüfen

Beobachten Sie bei einem Versuch die Basisverbindung und die VPN-Aktivierung. Ein fehlendes VPN-Ereignis bedeutet, dass der Auslöser nie konfiguriert wurde oder die UUID falsch ist. Ein VPN-Ereignis, auf das ein Authentifizierungsfehler folgt, bedeutet, dass der Auslöser lief und das verbleibende Problem die Anmeldedaten sind, was eine andere Korrektur ist.

Fordern Sie nach der Aktivierung die Ressource an, die den Aufbau motiviert hat, statt dem Symbol zu vertrauen. Trennen Sie dann bewusst und beobachten Sie, was als Nächstes passiert, denn eine Zuordnung zum automatischen Start ist kein Kill Switch und verspricht keine endlosen Wiederholungen. Wenn die Anforderung „kein Datenverkehr ohne den Tunnel“ lautet, ist das eine eigene Richtlinie, die ihre eigene Konfiguration und ihren eigenen Test braucht. Die beiden zu verwechseln ist der Weg, auf dem eine Maschine in einer Schleife neu verbindet, während der Benutzer glaubt, sie sei geschützt.