NM OpenVPN: το αποθηκευμένο προφίλ δεν είναι το αρχείο .ovpn σας

Το ίδιο .ovpn αρχείο συνδέεται από ένα κέλυφος και λήγει μετά την εισαγωγή στο NetworkManager. Το φυσικό συμπέρασμα είναι ότι το VPN είναι χαλασμένο. Η πιθανότερη εξήγηση είναι μικρότερη: το NetworkManager δεν κράτησε το αρχείο, εισήγαγε μέρος του σε μια αποθηκευμένη σύνδεση και η τούνελ που εκτελείται χρησιμοποιεί αντί αυτού εκείνα τα αποθηκευμένα δεδομένα. Ό,τι λέει τώρα το αρχείο είναι άσχετο με το τι περιέχει το προφίλ.

Το αρχείο δεν είναι το προφίλ

Η εισαγωγή είναι μετάφραση, όχι προσάρτηση. Οι επιλογές που καταλαβαίνει το πρόσθετο γίνονται κλειδιά στο vpn.data λεξικό της σύνδεσης; όσες επιλογές δεν καταλαβαίνει απορρίπτονται ή καταγράφονται αλλού, και η αρχική διαδρομή είναι μόνο αναφορά. Η εκ των υστέρων επεξεργασία του αρχείου προέλευσης δεν αλλάζει τίποτα στη σύνδεση που είναι ήδη αποθηκευμένη.

Αυτό το κενό εξηγεί μια ολόκληρη οικογένεια αναφορών: το κοινό κλειδί περιστράφηκε, το αρχείο ενημερώθηκε και η τούνελ εξακολουθεί να αποτυγχάνει. Το αποθηκευμένο προφίλ εξακολουθεί να δείχνει στην παλιά διαδρομή ή την παλιά τιμή, και η γραμμή εντολών συνεχίζει να λειτουργεί επειδή διαβάζει το αρχείο που επεξεργαστήκατε. Δύο πελάτες, δύο πηγές αλήθειας, και μόνο μία από αυτές ενημερώθηκε.

Διαβάστε το αποθηκευμένο προφίλ, όχι τον διάλογο

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Χρησιμοποιήστε το UUID όταν δύο προφίλ μοιράζονται ένα όνομα και επιβεβαιώστε ότι ο τύπος υπηρεσίας είναι το OpenVPN πρόσθετο που περιμένετε και όχι ένας άλλος τύπος VPN που τυχαίνει να είναι εγκατεστημένος. Στη συνέχεια συγκρίνετε το τελικό σημείο, τη μεταφορά και τις αναφορές πιστοποιητικών με την εργαζόμενη κλήση.

Μια τιμή ορατή σε γραφικό επεξεργαστή δεν αποτελεί απόδειξη ότι αποθηκεύτηκε. Αποθηκεύστε, ανοίξτε ξανά και διαβάστε την πίσω μέσω της γραμμής εντολών· ιστορικά σφάλματα αποθήκευσης είναι λόγος να ελέγξετε τα αποθηκευμένα δεδομένα, όχι απόδειξη ότι κάθε τρέχουσα έκδοση έχει το ίδιο σφάλμα. Ο έλεγχος κοστίζει μία εντολή.

Δύο κλειδιά και μια κατεύθυνση που έχει σημασία

Για μια σύνδεση που χρησιμοποιεί έλεγχο ταυτότητας TLS, το πρόσθετο αποθηκεύει τη διαδρομή του κοινού κλειδιού στο ta και την κατεύθυνση στο ta-dir, όταν η ανάπτυξη χρησιμοποιεί μία. Και τα δύο ζουν στο λεξικό δεδομένων του προφίλ, και τα δύο πρέπει να ταιριάζουν με αυτό που περιμένει ο διακομιστής.

Η κατεύθυνση είναι απόφαση της πλευράς διακομιστή που εκφράζεται στον πελάτη. Το να διαλέξετε μία επειδή την έχει ένα γειτονικό προφίλ είναι ο τρόπος με τον οποίο ένα κλειδί που δουλεύει αρχίζει να αποτυγχάνει σε χειραψία. Αν η διαμόρφωση του διακομιστή δεν έχει κατεύθυνση, ο πελάτης δεν πρέπει να επινοήσει κατεύθυνση.

Το ίδιο το αρχείο κλειδιού πρέπει να είναι αναγνώσιμο από το πρόσθετο στο περιβάλλον όπου πραγματικά εκτελείται. Ένα περιορισμένο πακέτο έχει διαφορετική όψη του συστήματος αρχείων από μια συνηθισμένη εγκατάσταση επιφάνειας εργασίας, οπότε μια διαδρομή που υπάρχει στο κέλυφός σας μπορεί να είναι αόρατη στην υπηρεσία.

Ενημερώστε μία καταχώριση, όχι το λεξικό

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Το κορυφαίο συν ενημερώνει μεμονωμένες καταχωρίσεις του λεξικού. Η ανάθεση vpn.data χωρίς αυτό αντικαθιστά ολόκληρο το λεξικό, και έτσι ένα κλειδί που λείπει γίνεται πέντε χαλασμένες ρυθμίσεις. Διαβάστε ξανά το προφίλ μετά την αλλαγή και επιβεβαιώστε ότι οι άλλες καταχωρίσεις επιβίωσαν. Ένα λεξικό που έχασε το απομακρυσμένο τελικό σημείο και τα πιστοποιητικά του είναι ένα πολύ μεγαλύτερο απόγευμα από αυτό με το οποίο ξεκινήσατε.

Επανασυνδεθείτε μέσω των κανονικών χειριστηρίων και παρακολουθήστε το στάδιο που αποτυγχάνει. Αν η πύλη του κοινού κλειδιού περνά τώρα και ο πελάτης αναφέρει σφάλμα πιστοποιητικού ή ταυτοποίησης χρήστη, έχετε προχωρήσει και η επόμενη έρευνα είναι διαφορετική.

Μην συγχέετε τις λειτουργίες του καναλιού ελέγχου

tls-auth, tls-crypt, και tls-crypt-v2 είναι διαφορετικές διατάξεις. Ένα αρχείο κλειδιού που μοιάζει παρόμοιο δεν τα κάνει εναλλάξιμα, και η συμπλήρωση των πεδίων TLS-Auth επειδή ένα άλλο προφίλ περιέχει μορφοποιημένο κλειδί παράγει ένα προφίλ που αποτυγχάνει με τρόπο που μοιάζει με λάθος κλειδί.

Χρησιμοποιήστε την αντιστοίχιση του πρόσθετου που ταιριάζει με τη λειτουργία στη διαμόρφωση του διακομιστή. Όταν η λειτουργία είναι ασαφής, ρωτήστε τον ιδιοκτήτη του διακομιστή αντί να μαντέψετε από την πρώτη γραμμή του αρχείου.

Κρατήστε μια διαδρομή ανάκτησης όταν η τούνελ μεταφέρει τη συνεδρία διαχείρισής σας. Μια αποθηκευμένη αλλαγή δεν είναι απαραίτητα εφαρμοσμένη αλλαγή, και μια επιτυχής εισαγωγή δεν είναι απόδειξη ότι υποστηρίχθηκε κάθε επιλογή προέλευσης. Και τα δύο κενά αξίζει να τα γνωρίζετε πριν επανασυνδέσετε τον σύνδεσμο μέσω του οποίου εργάζεστε.