Un perfil, dos propietarios: NetworkManager o systemd

Con un archivo .ovpn no ocurre nada hasta que algo lo posee. En un escritorio Pi los propietarios plausibles son NetworkManager, que guarda una conexión importada en su propio archivo de claves, y una unidad de servicio independiente que lee una configuración de un directorio. Son dos modelos de funcionamiento con almacenamiento distinto, tratamiento distinto de las credenciales y reglas de activación distintas. Elegir uno a propósito es toda la tarea; copiar el archivo en ambos lugares solo hace que la elección sea accidental.

Ambos pueden funcionar en una máquina, pero no en el mismo túnel en el mismo momento, y el conflicto parece una avería de red y no una de configuración.

Dos formas de poseer el mismo túnel

El complemento OpenVPN de NetworkManager añade un editor y un servicio que gestionan la conexión por usted, e instalar el programa OpenVPN no instala esa integración. Una unidad independiente es el arreglo contrario: sin editor, sin integración con el escritorio, un solo archivo de configuración y los privilegios que conceda la unidad. La primera guarda el estado de la conexión en su propia base de datos, la segunda lo guarda donde digan el perfil y la unidad. La mayor parte de la confusión viene de suponer que un perfil importado y un archivo copiado son el mismo objeto.

No son dos vistas de una sola cosa. Editar el archivo descargado no cambia ni lo que guardó NetworkManager ni lo que lee la unidad, y cualquiera de los dos puede ser el que construyó el túnel que acaba de probar.

Siga la conexión que el escritorio usa de verdad

La operación de importación documentada, nmcli connection import type openvpn file office.ovpn, crea una conexión a través del complemento. Anote su UUID y use ese identificador después, porque los nombres se editan y dos conexiones pueden compartir una etiqueta. nmcli connection show enumera lo que existe, y leer las propiedades de la propia conexión le dice de qué archivo vino y qué guarda. Si el UUID que edita no es el que activa el escritorio, sus ediciones son decoración.

Los secretos viven en el almacén del propietario. Volcar cada secreto guardado para averiguar qué perfil está activo es lento y arriesgado; pregunte al objeto de conexión en su lugar y mantenga el material privado donde el propietario lo espera.

Una conexión importada no necesita una sesión gráfica para funcionar, pero puede seguir necesitando una fuente de credenciales. Que arranque sin supervisión depende de sus permisos y secretos, no de que el escritorio esté presente.

Lea la plantilla de la unidad antes de confiar en ella

Donde el paquete incluye la unidad de cliente al estilo upstream, una instancia llamada office corresponde a %i.conf dentro del directorio configurado de la unidad, que para la plantilla 2.6 es /etc/openvpn/client. Lea la unidad instalada y cualquier archivo adicional antes de fiarse de un ejemplo de una guía, porque las distribuciones mueven rutas. Un arranque manual desde una terminal no demuestra nada sobre la visión que el servicio tiene de los archivos, los secretos o los permisos. El diálogo de contraseña del escritorio tampoco es prueba de que una unidad no interactiva tenga una forma aprobada de obtener la misma contraseña.

De a la unidad solo lo que necesita. Aflojar todo el sandbox del servicio porque un archivo referenciado no se puede leer cambia una corrección pequeña de permisos por una exposición grande, y el error suele nombrar el archivo que necesita atención.

Retire el duplicado sin perder el acceso

Si ambos propietarios pueden arrancar el túnel, uno acabará ganando en el momento equivocado y las rutas y el dispositivo del perdedor quedarán atrás. Elimine el duplicado accidental a través de su propio propietario, mantenga abierta una vía de recuperación y confirme que el propietario restante sigue conectando tras un reinicio. Dos VPN deliberadamente separadas con políticas de enrutamiento distintas son otra cuestión de diseño, no un permiso para que dos vías de arranque compitan por una conexión.

Después anote el ciclo de vida que aceptó: activación manual, inicio de sesión, o arranque y reconexión. Compruebe el extremo guardado, la autenticación de la otra parte y el recurso al que el túnel debe llegar, porque reinstalar el escritorio no sustituye saber qué configuración se ejecutó.