Ένα προφίλ, δύο ιδιοκτήτες: NetworkManager ή systemd

Τίποτα δεν συμβαίνει με ένα αρχείο .ovpn μέχρι να το αποκτήσει κάποιος ιδιοκτήτης. Σε έναν υπολογιστή Pi οι πιθανοί ιδιοκτήτες είναι ο NetworkManager, που αποθηκεύει μια εισηγμένη σύνδεση στο δικό του αρχείο κλειδιού, και μια αυτόνομη μονάδα υπηρεσίας που διαβάζει μια διαμόρφωση από έναν κατάλογο. Πρόκειται για δύο μοντέλα λειτουργίας με διαφορετική αποθήκευση, διαφορετικό χειρισμό διαπιστευτηρίων και διαφορετικούς κανόνες ενεργοποίησης. Το να διαλέξετε ένα από αυτά σκόπιμα είναι όλη η δουλειά· το να αντιγράψετε το αρχείο και στα δύο σημεία κάνει την επιλογή τυχαία.

Και τα δύο μπορούν να δουλέψουν σε ένα μηχάνημα, αλλά όχι στο ίδιο τούνελ την ίδια στιγμή, και η σύγκρουση μοιάζει με βλάβη δικτύου και όχι με βλάβη διαμόρφωσης.

Δύο τρόποι να κατέχεις το ίδιο τούνελ

Το πρόσθετο OpenVPN του NetworkManager προσθέτει έναν επεξεργαστή και μια υπηρεσία που διαχειρίζονται τη σύνδεση για εσάς, και η εγκατάσταση του προγράμματος OpenVPN δεν εγκαθιστά αυτή την ενσωμάτωση. Μια αυτόνομη μονάδα είναι η αντίστροφη διάταξη: χωρίς επεξεργαστή, χωρίς ενσωμάτωση με την επιφάνεια εργασίας, ένα αρχείο διαμόρφωσης και όποια προνόμια δώσει η μονάδα. Το πρώτο κρατά την κατάσταση της σύνδεσης στη δική του βάση δεδομένων, το δεύτερο την κρατά όπου λένε το προφίλ και η μονάδα. Η περισσότερη σύγχυση προέρχεται από την υπόθεση ότι ένα εισηγμένο προφίλ και ένα αντιγραμμένο αρχείο είναι το ίδιο αντικείμενο.

Δεν είναι δύο όψεις του ίδιου πράγματος. Η επεξεργασία του αρχείου που κατεβάσατε δεν αλλάζει ούτε ό,τι αποθήκευσε ο NetworkManager ούτε ό,τι διαβάζει η μονάδα, και οποιοδήποτε από τα δύο μπορεί να είναι αυτό που έφτιαξε το τούνελ που μόλις δοκιμάσατε.

Ακολουθήστε τη σύνδεση που χρησιμοποιεί πραγματικά η επιφάνεια εργασίας

Η τεκμηριωμένη λειτουργία εισαγωγής, nmcli connection import type openvpn file office.ovpn, δημιουργεί μια σύνδεση μέσω του πρόσθετου. Καταγράψτε το UUID της και χρησιμοποιήστε αυτό το αναγνωριστικό στη συνέχεια, γιατί τα ονόματα αλλάζουν και δύο συνδέσεις μπορούν να μοιράζονται μια ετικέτα. nmcli connection show απαριθμεί ό,τι υπάρχει, και η ανάγνωση των ιδιοτήτων της ίδιας της σύνδεσης σας λέει από ποιο αρχείο ήρθε και τι αποθηκεύει. Αν το UUID που επεξεργάζεστε δεν είναι αυτό που ενεργοποιεί η επιφάνεια εργασίας, οι αλλαγές σας είναι διακόσμηση.

Τα μυστικά ζουν στην αποθήκη του ιδιοκτήτη. Το να ξεφορτώσετε κάθε αποθηκευμένο μυστικό για να βρείτε ποιο προφίλ είναι ενεργό είναι αργό και ριψοκίνδυνο· ρωτήστε το αντικείμενο σύνδεσης αντ' αυτού και κρατήστε το ιδιωτικό υλικό εκεί που το περιμένει ο ιδιοκτήτης.

Μια εισηγμένη σύνδεση δεν χρειάζεται γραφική συνεδρία για να τρέξει, αλλά μπορεί να χρειάζεται ακόμη μια πηγή διαπιστευτηρίων. Το αν θα ξεκινήσει χωρίς επίβλεψη εξαρτάται από τα δικαιώματα και τα μυστικά της, όχι από το αν υπάρχει η επιφάνεια εργασίας.

Διαβάστε το πρότυπο της μονάδας πριν βασιστείτε σε αυτό

Όπου το πακέτο παρέχει τη μονάδα πελάτη στο στυλ upstream, ένα στιγμιότυπο με όνομα office αντιστοιχεί στο %i.conf μέσα στον διαμορφωμένο κατάλογο της μονάδας, που για το πρότυπο 2.6 είναι /etc/openvpn/client. Διαβάστε την εγκατεστημένη μονάδα και τυχόν πρόσθετα αρχεία πριν εμπιστευτείτε ένα παράδειγμα από οδηγό, γιατί οι διανομές μετακινούν διαδρομές. Μια χειροκίνητη εκκίνηση από τερματικό δεν αποδεικνύει τίποτα για την εικόνα που έχει η υπηρεσία για αρχεία, μυστικά ή δικαιώματα. Ούτε το παράθυρο κωδικού της επιφάνειας εργασίας είναι απόδειξη ότι μια μη διαδραστική μονάδα έχει εγκεκριμένο τρόπο να πάρει τον ίδιο κωδικό.

Δώστε στη μονάδα μόνο ό,τι χρειάζεται. Το να χαλαρώσετε ολόκληρο το sandbox της υπηρεσίας επειδή ένα αναφερόμενο αρχείο δεν διαβάζεται ανταλλάσσει μια μικρή διόρθωση δικαιωμάτων με μια μεγάλη έκθεση, και το σφάλμα συνήθως ονομάζει το αρχείο που χρειάζεται προσοχή.

Αποσύρετε το διπλότυπο χωρίς να χάσετε την πρόσβαση

Αν και οι δύο ιδιοκτήτες μπορούν να ξεκινήσουν το τούνελ, ένας τελικά κερδίζει τη λάθος στιγμή και οι διαδρομές και η συσκευή του χαμένου μένουν πίσω. Αφαιρέστε το τυχαίο διπλότυπο μέσω του δικού του ιδιοκτήτη, κρατήστε ανοιχτή μια διαδρομή ανάκτησης, και επιβεβαιώστε ότι ο εναπομένων ιδιοκτήτης συνδέεται ακόμη μετά από επανεκκίνηση. Δύο σκόπιμα ξεχωριστά VPN με διαφορετικές πολιτικές δρομολόγησης είναι άλλο ζήτημα σχεδίασης, όχι άδεια σε δύο διαδρομές εκκίνησης να ανταγωνίζονται για μία σύνδεση.

Στη συνέχεια γράψτε τον κύκλο ζωής που δεχτήκατε: χειροκίνητη ενεργοποίηση, σύνδεση, ή εκκίνηση και επανασύνδεση. Ελέγξτε το αποθηκευμένο τελικό σημείο, την πιστοποίηση του ομολόγου και τον πόρο που υποτίθεται ότι φτάνει το τούνελ, γιατί η επανεγκατάσταση της επιφάνειας εργασίας δεν υποκαθιστά το να ξέρετε ποια διαμόρφωση έτρεξε.