NM OpenVPN: salvestatud profiil ei ole sinu .ovpn-fail

Sama .ovpn fail ühendub kestast ja aegub pärast NetworkManageri importimist. Loomulik järeldus on, et VPN on katki. Tõenäolisem seletus on väiksem: NetworkManager ei hoidnud faili alles, vaid importis osa sellest salvestatud ühendusse ja töötav tunnel kasutab selle asemel neid salvestatud andmeid. Mida fail praegu ütleb, on profiili sisu jaoks ebaoluline.

Fail ei ole profiil

Import on tõlge, mitte kinnitamine. Valikud, millest pistikprogramm aru saab, muutuvad ühenduse vpn.data sõnastiku võtmeteks; valikud, millest see aru ei saa, jäetakse välja või registreeritakse mujal, ja algne tee on ainult viide. Lähtefaili hilisem muutmine ei muuda juba salvestatud ühenduse juures midagi.

See lünk selgitab tervet perekonda aruandeid: ühine võti pöörati, fail uuendati ja tunnel ikka ei tööta. Salvestatud profiil osutab endiselt vanale teele või vanale väärtusele ning käsurida töötab edasi, sest loeb faili, mida te muutsite. Kaks klienti, kaks tõeallikat ja uuendati ainult ühte neist.

Lugege salvestatud profiili, mitte dialoogi

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Kasutage UUID-d, kui kaks profiili jagavad nime, ja kinnitage, et teenuse tüüp on oodatud OpenVPN pistikprogramm, mitte mõni muu VPN-i tüüp, mis juhtub paigaldatud olema. Seejärel võrrelge lõpp-punkti, transporti ja sertifikaadiviiteid töötava kutsega.

Graafilises redaktoris nähtav väärtus ei ole tõestus, et see salvestati. Salvestage, avage uuesti ja lugege see käsurea kaudu tagasi; ajaloolised salvestusvead on põhjus salvestatud andmeid kontrollida, mitte tõestus, et igal praegusel koostel on sama viga. Kontroll maksab ühe käsu.

Kaks võtit ja suund, millel on tähtsust

TLS-autentimist kasutava ühenduse puhul salvestab pistikprogramm ühise võtme tee ta ja suuna ta-dir, kui juurutus seda kasutab. Mõlemad elavad profiili andmesõnastikus ja mõlemad peavad vastama sellele, mida server ootab.

Suund on serveripoolne otsus, mis väljendub kliendil. Selle valimine seetõttu, et naaberprofiilil see on, on viis, kuidas töötav võti hakkab käepigistuses ebaõnnestuma. Kui serveri konfiguratsioonil suunda ei ole, ei tohiks klient suunda välja mõelda.

Võtmefail ise peab olema pistikprogrammile loetav selles kontekstis, milles see tegelikult töötab. Piiratud paketil on failisüsteemist teistsugune vaade kui tavalisel töölaua paigaldusel, nii et tee, mis on teie kestas olemas, võib olla teenusele nähtamatu.

Värskendage üht kirjet, mitte sõnastikku

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Eesmine pluss värskendab üksikuid sõnastikukirjeid. Määramine vpn.data ilma selleta asendab kogu sõnastiku ja nii muutub üks puuduv võti viieks katkiseks seadeks. Lugege profiil pärast muudatust uuesti ja kinnitage, et teised kirjed jäid alles. Sõnastik, mis kaotas oma kaugema lõpp-punkti ja sertifikaadid, on palju pikem pärastlõuna kui see, millega te alustasite.

Ühendage uuesti tavaliste juhtelementide kaudu ja jälgige nurjuvat etappi. Kui ühise võtme värav läbib nüüd ja klient teatab sertifikaadi või kasutaja autentimise veast, olete edasi liikunud ja järgmine uurimine on teistsugune.

Ärge ajage juhtkanali režiime segamini

tls-auth, tls-crypt, ja tls-crypt-v2 on erinevad korraldused. Sarnaselt näiv võtmefail ei tee neid vahetatavateks, ja TLS-Auth väljade täitmine seetõttu, et teisel profiilil on vormindatud võti, loob profiili, mis nurjub viisil, mis meenutab vale võtit.

Kasutage pistikprogrammi vastendust, mis vastab serveri konfiguratsiooni režiimile. Kui režiim on ebaselge, küsige serveri omanikult, selle asemel et faili esimese rea põhjal oletada.

Hoidke taastetee alles, kui tunnel kannab teie haldusseanssi. Salvestatud muudatus ei ole tingimata rakendatud muudatus ja edukas import ei ole tõestus, et iga lähtevalik oli toetatud. Mõlemat lünka tasub teada enne, kui ühendate uuesti lingi, mille kaudu töötate.