Keyfile ή Netplan: πού αποθηκεύεται πραγματικά το προφίλ VPN;

Το να βρείτε το αρχείο που εισαγάγατε είναι το εύκολο μέρος και συχνά η λάθος αρχή. Το σημαντικό είναι ποιο αρχείο διαβάζει σήμερα το NetworkManager ως αποθηκευμένη σύνδεση, και αυτό εξαρτάται από ένα αναγνωριστικό σύνδεσης και από το backend διαμόρφωσης που χρησιμοποιούν πραγματικά τα εγκατεστημένα πακέτα. Η επεξεργασία της εισαγωγής πριν απαντηθεί αυτό το ερώτημα είναι ο τρόπος με τον οποίο ένα λειτουργικό VPN γίνεται δύο μισοσωστές διαμορφώσεις.

Το εισαγόμενο αρχείο δεν είναι το αποθηκευμένο προφίλ

Τρία ονόματα περιφέρονται γύρω από κάθε πρόβλημα VPN: το όνομα της σύνδεσης, το όνομα του αρχείου που εισαγάγατε και η εικονική διεπαφή που εμφανίζεται όταν σηκώνεται το τούνελ. Κανένα τους δεν αναγνωρίζει την αποθηκευμένη διαμόρφωση, και το όνομα μιας σύνδεσης μπορεί να αλλάξει ενώ το αρχείο πίσω του κρατά το αρχικό του αναγνωριστικό.

Ξεκινήστε με μια απογραφή μόνο για ανάγνωση και επιλέξτε το επιθυμητό VPN με βάση το αναγνωριστικό και όχι την ετικέτα:

nmcli -f NAME,UUID,TYPE connection show

Κρατήστε τα ονόματα κεντρικών υπολογιστών των άκρων και τις ετικέτες ταυτότητας έξω από κάθε απογραφή που επικολλάτε σε ένα δελτίο. Το χρήσιμο μέρος είναι ο τύπος και το αναγνωριστικό· τα υπόλοιπα είναι συμφραζόμενα που ένας ξένος δεν χρειάζεται. Αποκρύψτε τα υπόλοιπα πριν τα μοιραστείτε και πείτε ότι το κάνατε, ώστε να μην αναρωτιέται κανείς τι σημαίνουν τα κενά.

Οι τοποθεσίες keyfile δεν σημαίνουν το ίδιο

Με το εγγενές πρόσθετο keyfile, τα αρχεία σύνδεσης μπορούν να εμφανιστούν σε τρεις καταλόγους, και η διαφορά μεταξύ τους είναι η μονιμότητα, όχι η ευκολία.

Η επεξεργασία του αντιγράφου χρόνου εκτέλεσης φαίνεται επιτυχής μέχρι την επόμενη εκκίνηση, οπότε η αλλαγή εξατμίζεται και το αρχείο φαίνεται μυστηριωδώς επαναφερμένο. Η επεξεργασία του αντιγράφου που παρέχει το πακέτο λειτουργεί μέχρι να το αντικαταστήσει μια αναβάθμιση, που είναι μια πιο αργή και πιο μπερδεμένη εκδοχή του ίδιου μαθήματος.

Η τεκμηρίωση του keyfile προσθέτει μια λεπτομέρεια που αξίζει σεβασμό: αυτά τα αρχεία μπορούν να περιέχουν ιδιωτικά κλειδιά και φράσεις πρόσβασης, και το NetworkManager αγνοεί κάθε keyfile που χρήστες άλλοι από τον root μπορούν να διαβάσουν ή να γράψουν. Η διεύρυνση των δικαιωμάτων καταλόγου για να ψάξετε μια ρύθμιση σπάει τη συμπεριφορά φόρτωσης που προσπαθούσατε να εξετάσετε.

Όταν το Netplan κατέχει τη μονιμότητα

Στο Ubuntu, η ενσωμάτωση του NetworkManager που περιγράφεται στην τεκμηρίωση του Netplan, διαθέσιμη από το 23.10 και μετά, αλλάζει πού ζει το μόνιμο αντίγραφο. Για μη προσωρινές συνδέσεις γράφει /etc/netplan/90-NM-<connection UUID>.yaml και παράγει ένα εφήμερο προφίλ NetworkManager κάτω από /run/NetworkManager/system-connections/.

Αυτή είναι μια ενσωμάτωση διανομής, όχι κανόνας για κάθε εγκατάσταση NetworkManager. Επιβεβαιώστε ότι τα εγκατεστημένα πακέτα τη χρησιμοποιούν πραγματικά πριν πάτε να ψάξετε για αρχείο YAML. Θυμηθείτε επίσης ότι ένα προφίλ χρόνου εκτέλεσης μπορεί να είναι μια παραγόμενη αναπαράσταση κάποιου άλλου πράγματος και όχι η πηγή που αξίζει επεξεργασία. Δύο εντολές ελέγχου γλιτώνουν μια ώρα επεξεργασίας λάθος αρχείου.

Το τεκμηριωμένο παράδειγμα αποθηκεύει μια σύνδεση OpenVPN μέσω του τύπου Netplan nm-devices με δεδομένα διέλευσης του NetworkManager. Το ότι το Netplan δεν έχει ειδική ερμηνεία για ένα συγκεκριμένο πεδίο VPN δεν σημαίνει ότι το αποθηκευμένο VPN σας χάθηκε· σημαίνει ότι το πεδίο ταξιδεύει ως αδιαφανή δεδομένα.

Οι παροδικές διεπαφές δεν είναι προφίλ

Η ενεργοποίηση δημιουργεί προσωρινές εικονικές συνδέσεις και διεπαφές που δεν προορίζονταν ποτέ να διαρκέσουν. Η ενσωμάτωση σκόπιμα δεν γράφει νέο αρχείο YAML για καθεμία, οπότε η απουσία τους από /etc/netplan δεν λέει τίποτα για το αν το γονικό προφίλ είναι αποθηκευμένο.

Αν κυνηγάτε ένα αρχείο που εμφανίζεται και εξαφανίζεται, πιθανότατα κοιτάτε ένα από αυτά και όχι τη διαμόρφωσή σας. Ελέγξτε αν επιβιώνει από επανεκκίνηση πριν βγάλετε οποιοδήποτε συμπέρασμα από τα περιεχόμενά του. Ένα αρχείο χρόνου εκτέλεσης που εξαφανίζεται στην επανεκκίνηση σας λέει ότι δεν ήταν ποτέ η πηγή, και αυτή η μία παρατήρηση ανακατευθύνει όλη την έρευνα. Εξηγεί επίσης γιατί μια επεξεργασία φάνηκε επιτυχής τότε.

Μυστικά και ιδιοκτησία

Ένα προφίλ μπορεί να αναφέρεται σε πιστοποιητικό ή κλειδί που είναι αποθηκευμένο εντελώς αλλού, και ένας κωδικός πρόσβασης μπορεί να ανήκει στο NetworkManager, να παρέχεται από έναν μυστικό πράκτορα συνεδρίας χρήστη, ή να μην αποθηκεύεται σκόπιμα. Επομένως, ο εντοπισμός ενός μόνο αρχείου ξεκαθαρίζει ελάχιστα για το τι θα απαιτήσει μια εκκίνηση χωρίς επίβλεψη.

Εξετάστε τις αναφορές και τις σημαίες μυστικών χωρίς να εκτυπώνετε μυστικές τιμές. Μια σύνδεση στην επιφάνεια εργασίας μπορεί να κάνει διαθέσιμο έναν πράκτορα που έλειπε κατά την εκκίνηση, και η αντιγραφή ενός παραγόμενου αρχείου χρόνου εκτέλεσης δεν αναπαράγει αυτόν τον πράκτορα. Το πρακτικό σύμπτωμα είναι ένα τούνελ που συνδέεται όταν ένα άτομο συνδέεται και αποτυγχάνει όταν το μηχάνημα ξεκινά μόνο του. Αυτό το μοτίβο δείχνει ιδιοκτησία μυστικών, όχι δρομολόγηση.

Κάντε τις εγκεκριμένες αλλαγές μέσω του διαχειριστή που κατέχει τη σύνδεση και, στη συνέχεια, επαληθεύστε και το αποθηκευμένο αναγνωριστικό και την ενεργή σύνδεση. Κρατήστε έναν μόνιμο ιδιοκτήτη, γιατί η ανεξάρτητη επεξεργασία της εισαγωγής, ενός παραγόμενου keyfile και μιας πηγής YAML αφήνει τρεις ανταγωνιστικές εξηγήσεις για το τι θα χρησιμοποιήσει η επόμενη επανασύνδεση. Διαλέξτε αυτό που όντως παραμένει, επεξεργαστείτε μόνο εκείνο και σημειώστε στο δελτίο ποιο αρχείο θεωρήσατε έγκυρο. Το επόμενο άτομο θα σας ευχαριστήσει για μία γραμμή προέλευσης.