Mover un perfil VPN de NetworkManager a otro ordenador

Dos máquinas pueden mostrar el mismo nombre de VPN en el menú y no tener nada más en común. La página de ajustes es la parte que peor viaja, porque el contenido real del perfil está repartido entre un archivo de claves, un llavero, un complemento y un puñado de rutas de archivo absolutas. Tres preguntas deciden si debe exportar, copiar o inscribirse de nuevo. Hágalas antes de copiar nada.

Empiece por el perfil que realmente funciona

Liste las conexiones y lea el UUID en lugar del nombre. nmcli connection show muestra ambos, y el UUID es el único campo que distingue la entrada que funciona de una importación más antigua con una etiqueta idéntica. Cambie el nombre o elimine el duplicado obsoleto en la máquina de origen antes de empezar, para que lo que copie no sea ambiguo. Después anote el complemento y el tipo de conexión, porque esos dos determinan qué significa siquiera exportar. Un perfil que no puede identificar con precisión es uno que no debería migrar.

Este paso cuesta un minuto. Evita el fallo más común, que es mover el perfil equivocado y luego depurar el destino.

¿Exportar o copiar el archivo de claves?

NetworkManager puede exportar algunos perfiles VPN a un archivo cuando el complemento instalado implementa la exportación, y para OpenVPN el resultado se parece a una configuración autónoma. Copiar el archivo de claves nativo es la otra vía: conserva todos los ajustes, pero espera el mismo complemento y un propietario permitido en el destino. Ninguna es universalmente mejor, y ninguna es una copia de seguridad. Elija preguntando qué tiene que permanecer idéntico.

La exportación conviene para un traslado a una máquina que ejecutará el mismo complemento, sobre todo cuando quiere un único artefacto que pueda inspeccionar. El archivo de claves conviene para una restauración en una distribución idéntica donde los permisos y las rutas se pueden reproducir exactamente.

A qué sigue apuntando el perfil

Un perfil no es autosuficiente solo porque se haya exportado limpiamente. La CA, el certificado de cliente, la clave privada y cualquier material TLS adicional suelen ser archivos separados a los que se hace referencia por ruta, y esas rutas existen en la máquina que abandona. Enumere cada archivo referenciado antes de transferir nada.

Después decida si conviene usar siquiera la misma credencial. Un archivo con el mismo nombre en otra máquina no es la misma identidad, y algunos despliegues esperan en su lugar una inscripción nueva.

Los secretos no están en el archivo

Las contraseñas y las frases de contraseña pueden vivir en el archivo de claves, en un llavero de usuario o en ningún sitio porque se le preguntan al usuario cada vez. Solo la primera de esas opciones viaja con una copia del archivo.

Compruebe los indicadores de contraseña del perfil de origen antes de suponer que el traslado no necesitará atención. Un perfil configurado para preguntar, o para guardar el secreto en un agente de sesión, llega a la máquina nueva sin credencial y con un intento de conexión que falla sin explicar por qué. Reproduzca allí el flujo de secretos aprobado en lugar de exportar una contraseña en texto plano a un archivo para facilitar el traslado. Ese atajo convierte una migración en una revelación.

Retire la copia antigua correctamente

Acepte la nueva configuración usando la aplicación prevista a través de ella, y mantenga disponible la ruta antigua hasta entonces. Importe, vuelva a leer el extremo, la autenticación, las rutas y el DNS, y después conéctese y confirme el recurso privado. Una importación que produce un icono verde no es una aceptación.

Eliminar un perfil local no revoca nada. El certificado y las credenciales siguen siendo válidos hasta que el operador los retire, así que la retirada es una solicitud aparte a quien los emitió. Elimine los archivos antiguos, elimine la entrada del llavero y anote qué identidad se retiró y cuándo. Si la máquina antigua se entrega a otra persona, ese registro importa más que la eliminación.