Unu profilo, du posedantoj: NetworkManager aŭ systemd

Nenio okazas al dosiero .ovpn ĝis io posedas ĝin. En Pi-labortablo la verŝajnaj posedantoj estas NetworkManager, kiu konservas importitan konekton en sia propra ŝlosilodosiero, kaj memstara serva unuo, kiu legas agordon el dosierujo. Temas pri du funkciadmodeloj kun malsama konservado, malsama traktado de akreditaĵoj kaj malsamaj aktivigreguloj. Elekti unu el ili konscie estas la tuta tasko; kopii la dosieron al ambaŭ lokoj nur igas la elekton hazarda.

Ambaŭ povas funkcii en unu maŝino, sed ne en la sama tunelo sammomente, kaj la konflikto aspektas kiel reta paneo, ne kiel agorda paneo.

Du manieroj posedi la saman tunelon

La kromaĵo OpenVPN de NetworkManager aldonas redaktilon kaj servon, kiuj administras la konekton por vi, kaj instalado de la OpenVPN-programo ne instalas tiun integriĝon. Memstara unuo estas la kontraŭa aranĝo: neniu redaktilo, neniu integriĝo kun la labortablo, unu agorda dosiero kaj la privilegioj, kiujn la unuo donas. La unua konservas la konektan staton en sia propra datumbazo, la dua konservas ĝin tie, kie diras la profilo kaj la unuo. Plej granda parto de la konfuzo venas de la supozo, ke importita profilo kaj kopiita dosiero estas la sama objekto.

Ili ne estas du vidpunktoj de unu afero. Redakti la elŝutitan dosieron ŝanĝas nek tion, kion konservis NetworkManager, nek tion, kion legas la unuo, kaj ĉiu el ili povas esti tiu, kiu konstruis la tunelon, kiun vi ĵus testis.

Sekvu la konekton, kiun la labortablo efektive uzas

La dokumentita importa operacio, nmcli connection import type openvpn file office.ovpn, kreas konekton per la kromaĵo. Notu ĝian UUID kaj uzu tiun identigilon poste, ĉar nomoj estas redaktataj kaj du konektoj povas dividi unu etikedon. nmcli connection show listigas tion, kio ekzistas, kaj legado de la propraj ecoj de konekto diras al vi, el kiu dosiero ĝi venis kaj kion ĝi konservas. Se la UUID, kiun vi redaktas, ne estas tiu, kiun la labortablo aktivigas, viaj ŝanĝoj estas ornamaĵo.

Sekretoj loĝas en la konservejo de la posedanto. Elverŝi ĉiun konservitan sekreton por trovi, kiu profilo estas aktiva, estas malrapida kaj riska; demandu la konektan objekton anstataŭe, kaj tenu privatan materialon tie, kie la posedanto atendas ĝin.

Importita konekto ne bezonas grafikajn seancon por funkcii, sed ĝi ankoraŭ povas bezoni fonton de akreditaĵoj. Ĉu ĝi startos senprizorge, dependas de ĝiaj permesoj kaj sekretoj, ne de la ĉeesto de la labortablo.

Legu la ŝablonon de la unuo antaŭ ol fidi ĝin

Kie la pako liveras la klientan unuon laŭ la upstream-stilo, instanco nomata office respondas al %i.conf ene de la agordita dosierujo de la unuo, kiu por la ŝablono 2.6 estas /etc/openvpn/client. Legu la instalitan unuon kaj ĉiujn aldonajn dosierojn antaŭ ol fidi ekzemplon el gvidilo, ĉar distribuoj movas vojojn. Mana startigo el terminalo pruvas nenion pri la vido de la servo al dosieroj, sekretoj aŭ permesoj. Ankaŭ la pasvorta dialogo de la labortablo ne estas pruvo, ke neinteraga unuo havas aprobitan manieron akiri la saman pasvorton.

Donu al la unuo nur tion, kion ĝi bezonas. Malstreĉi la tutan sabloskatolon de la servo ĉar unu referencita dosiero ne estas legebla interŝanĝas malgrandan permesan korekton kontraŭ granda elmetiĝo, kaj la eraro kutime nomas la dosieron, kiu bezonas atenton.

Retiru la duplikaton sen perdi aliron

Se ambaŭ posedantoj povas startigi la tunelon, unu fine venkas en la malĝusta momento kaj la itineroj kaj aparato de la malvenkinto restas malantaŭe. Forigu la hazardan duplikaton per ĝia propra posedanto, tenu reakiran vojon malfermita, kaj konfirmu, ke la restanta posedanto ankoraŭ konektiĝas post relanĉo. Du konscie apartaj VPN-oj kun malsamaj enkursigaj politikoj estas alia dizajna demando, ne permeso al du startaj vojoj konkuri pri unu konekto.

Poste skribu la vivociklon, kiun vi akceptis: mana aktivigo, ensaluto, aŭ starto kaj rekonekto. Kontrolu la konservitan finpunkton, la aŭtentikigon de la kontraŭulo kaj la rimedon, kiun la tunelo celas atingi, ĉar reinstali la labortablon ne anstataŭas scii, kiu agordo funkciis.