¿Control gris de NetworkManager? Comprueba la propiedad antes que los permisos

Los interruptores VPN en gris del menú del escritorio informan de que algo va mal y nada sobre qué. Eso es una observación, no un diagnóstico. Tres fronteras distintas pueden producir el mismo control muerto: puede que NetworkManager no sea dueño del dispositivo, que la sesión carezca del permiso para cambiarlo o que el complemento del editor de VPN no esté instalado en absoluto. Cambiar la frontera equivocada es la forma en que un arreglo de cinco minutos se convierte en una tarde reinstalando paquetes.

Tres órdenes de solo lectura separan los casos antes de modificar nada.

Haz las tres preguntas en orden

nmcli device status
nmcli general permissions
nmcli connection show

Son órdenes de inspección para un sistema que realmente usa NetworkManager y es seguro ejecutarlas como usuario normal. Mantén los detalles privados de la conexión fuera de los registros públicos si pegas la salida en algún sitio.

El estado del dispositivo responde si la interfaz está gestionada y es utilizable. La vista de permisos responde qué puede hacer la sesión que llama. La lista de conexiones muestra qué perfiles existen; no demuestra que haya instalado un editor de VPN o un complemento de importación correspondiente.

La propiedad y el permiso son fallos distintos

Un dispositivo marcado como no gestionado queda fuera del control de NetworkManager y ninguna cantidad de permisos producirá un interruptor que funcione. El complemento ifupdown es una causa frecuente: su ajuste gestionado decide cómo se tratan las entradas del archivo interfaces, y una sección sobrante puede mantener una interfaz bajo las herramientas antiguas. La existencia del archivo no es una instrucción para borrar su contenido, y eliminar entradas que no escribiste es una buena forma de perder la conectividad.

El permiso es un eje aparte. NetworkManager autoriza a los llamadores que no son root mediante PolicyKit, y la respuesta informada puede ser sí, auth o no. Una sesión sin agente de autenticación informa auth y luego falla en silencio en el escritorio, lo que parece un control roto en lugar de un agente ausente.

No arregles ninguno de los dos ejecutando el escritorio como root

Ejecutar toda la sesión como root para que funcione un interruptor cambia el modelo de seguridad de cada aplicación de la máquina. También oculta la configuración incorrecta subyacente en lugar de documentarla. Si una acción necesita autorización administrativa, ese es el diseño previsto, y el arreglo corresponde a la política o a cómo se inicia el agente.

Del mismo modo, no inicies una segunda copia de NetworkManager ni un demonio competidor. Dos gestores que discuten por el mismo dispositivo producen un estado difícil de razonar y aún más difícil de soportar. Si un segundo demonio parece la única forma de recuperar un control, la configuración del primer gestor es lo que hay que corregir. Detén el demonio extra antes de cambiar cualquier otra cosa, o la siguiente prueba medirá ambos a la vez.

La cuestión del complemento también afecta al editor

Crear o importar una conexión VPN necesita el complemento que proporciona ese tipo de conexión, y en un escritorio normalmente también requiere una integración con el editor. El paquete del lado del servicio puede estar presente mientras falta el formulario del editor, por eso una entrada de menú puede existir y aun así fallar. Comprueba ambas mitades contra el empaquetado de la distribución en lugar de suponer que un solo paquete lo instala todo.

Un binario de cliente independiente tampoco es una prueba. Instalar un binario de OpenVPN no da por sí solo al editor del escritorio un formulario para crear un perfil de OpenVPN.

Corrige la frontera responsable y luego verifica

Cuando sepas qué frontera está mal, cambia solo esa. Marcar un dispositivo como gestionado, conceder un permiso o instalar un paquete de editor son tres operaciones distintas con tres perfiles de riesgo distintos, y mezclarlas hace imposible atribuir el resultado. Si la propiedad tiene que moverse, hazlo con acceso por consola o fuera de banda disponible, porque un error ahí puede quitar la red que estás usando para arreglarlo.

Después verifica con la cuenta real y el perfil real: confirma la ruta, la vista de DNS y dónde se guarda el secreto. Los botones habilitados son un estado de la interfaz, no una prueba de que el túnel funcione. Anota el estado del dispositivo, la respuesta del permiso y la versión del complemento en el ticket, para que la siguiente persona sepa qué frontera cambió realmente.