Üks profiil, kaks omanikku: NetworkManager või systemd

Failiga .ovpn ei juhtu midagi enne, kui miski selle omanikuks saab. Pi töölaua tõenäolised omanikud on NetworkManager, mis hoiab imporditud ühendust oma võtmefailis, ja eraldiseisev teenuseüksus, mis loeb konfiguratsiooni kataloogist. Need on kaks töömudelit erineva salvestuse, erineva mandaatide käsitlemise ja erinevate aktiveerimisreeglitega. Ühe teadlik valimine on kogu ülesanne; faili kopeerimine mõlemasse kohta teeb valiku vaid juhuslikuks.

Mõlemad võivad töötada ühes masinas, aga mitte samas tunnelis samal hetkel, ja konflikt näeb välja nagu võrgu tõrge, mitte konfiguratsiooni tõrge.

Kaks viisi, kuidas sama tunnelit omada

NetworkManageri OpenVPN pistikprogramm lisab redaktori ja teenuse, mis haldavad ühendust teie eest, ja OpenVPNi programmi paigaldamine seda integratsiooni ei paigalda. Eraldiseisev üksus on vastupidine lahendus: redaktorit pole, töölaua integratsiooni pole, üks konfiguratsioonifail ja need õigused, mille üksus annab. Esimene hoiab ühenduse olekut oma andmebaasis, teine hoiab seda seal, kus ütlevad profiil ja üksus. Suurem osa segadusest tuleb eeldusest, et imporditud profiil ja kopeeritud fail on sama objekt.

Need ei ole ühe asja kaks vaadet. Allalaaditud faili muutmine ei muuda ei seda, mille NetworkManager salvestas, ega seda, mida üksus loeb, ja kumbki neist võib olla see, mis ehitas tunneli, mida te just katsetasite.

Järgige ühendust, mida töölaud tegelikult kasutab

Dokumenteeritud imporditoiming, nmcli connection import type openvpn file office.ovpn, loob ühenduse pistikprogrammi kaudu. Kirjutage üles selle UUID ja kasutage seda identifikaatorit edaspidi, sest nimesid muudetakse ja kaks ühendust võivad jagada üht silti. nmcli connection show loetleb olemasoleva, ja ühenduse enda omaduste lugemine ütleb, millisest failist see pärineb ja mida see hoiab. Kui UUID, mida muudate, ei ole see, mille töölaud aktiveerib, on teie muudatused vaid kaunistus.

Saladused elavad omaniku hoidlas. Kõigi salvestatud saladuste väljavalamine, et teada saada, milline profiil on aktiivne, on aeglane ja riskantne; küsige selle asemel ühenduse objektilt ja hoidke privaatset materjali seal, kus omanik seda ootab.

Imporditud ühendus ei vaja töötamiseks graafilist seanssi, kuid võib siiski vajada mandaatide allikat. Kas see käivitub järelevalveta, sõltub selle õigustest ja saladustest, mitte töölaua olemasolust.

Lugege üksuse malle enne, kui sellele loote

Kui pakett tarnib upstream-stiilis kliendiüksuse, vastab nimega office eksemplar failile %i.conf üksuse konfigureeritud kataloogis, mis 2.6 malli puhul on /etc/openvpn/client. Lugege paigaldatud üksust ja kõiki lisafaile enne, kui usaldate juhendi näidet, sest distributsioonid teisaldavad radu. Käsitsi käivitamine terminalist ei tõesta midagi teenuse vaate kohta failidele, saladustele ega õigustele. Ka töölaua paroolidialoog ei ole tõestuseks, et mitteinteraktiivsel üksusel on kinnitatud viis sama parooli saamiseks.

Andke üksusele ainult see, mida see vajab. Kogu teenuse sandboxi lõdvendamine sellepärast, et üks viidatud fail ei ole loetav, vahetab väikese õiguste paranduse suure avatuse vastu, ja viga nimetab tavaliselt faili, mis vajab tähelepanu.

Kõrvaldage duplikaat ilma juurdepääsu kaotamata

Kui mõlemad omanikud saavad tunnelit käivitada, võidab üks lõpuks valel hetkel ja kaotaja marsruudid ja seade jäävad maha. Eemaldage juhuslik duplikaat selle oma omaniku kaudu, hoidke taastamistee avatud ja kinnitage, et allesjäänud omanik ühendub endiselt pärast taaskäivitust. Kaks teadlikult eraldiseisvat VPN-i erinevate marsruutimispoliitikatega on hoopis teine kavandamisküsimus, mitte luba kahel käivitusteel ühe ühenduse pärast võistelda.

Seejärel kirjutage üles elutsükkel, mille te vastu võtsite: käsitsi aktiveerimine, sisselogimine või käivitumine ja uuesti ühendamine. Kontrollige salvestatud lõpp-punkti, vastaspoole autentimist ja ressurssi, milleni tunnel peaks jõudma, sest töölaua uuesti paigaldamine ei asenda teadmist, milline konfiguratsioon töötas.