Yksi profiili, kaksi omistajaa: NetworkManager vai systemd

.ovpn-tiedostolla ei tapahdu mitään ennen kuin jokin omistaa sen. Pi-työpöydällä uskottavia omistajia ovat NetworkManager, joka tallentaa tuodun yhteyden omaan avaintiedostoonsa, ja erillinen palveluyksikkö, joka lukee asetukset hakemistosta. Ne ovat kaksi toimintamallia, joissa tallennus, tunnistetietojen käsittely ja aktivointisäännöt eroavat. Toisen valitseminen tarkoituksella on koko tehtävä; tiedoston kopioiminen molempiin paikkoihin tekee valinnasta vain sattumanvaraisen.

Molemmat voivat toimia samalla koneella, mutta eivät samassa tunnelissa samalla hetkellä, ja ristiriita näyttää verkkohäiriöltä eikä asetushäiriöltä.

Kaksi tapaa omistaa sama tunneli

NetworkManagerin OpenVPN-liitännäinen lisää muokkaimen ja palvelun, jotka hallinnoivat yhteyttä puolestasi, eikä OpenVPN-ohjelman asentaminen asenna tätä integraatiota. Erillinen yksikkö on päinvastainen ratkaisu: ei muokkainta, ei työpöytäintegraatiota, yksi asetustiedosto ja ne oikeudet, jotka yksikkö antaa. Ensimmäinen pitää yhteyden tilan omassa tietokannassaan, toinen pitää sen siellä, missä profiili ja yksikkö sanovat. Suurin osa sekaannuksesta syntyy siitä, että tuodun profiilin ja kopioidun tiedoston oletetaan olevan sama objekti.

Ne eivät ole yhden asian kaksi näkymää. Ladatun tiedoston muokkaaminen ei muuta sitä, mitä NetworkManager tallensi, eikä sitä, mitä yksikkö lukee, ja kumpi tahansa voi olla se, joka rakensi juuri testaamasi tunnelin.

Seuraa yhteyttä, jota työpöytä todella käyttää

Dokumentoitu tuontitoiminto, nmcli connection import type openvpn file office.ovpn, luo yhteyden liitännäisen kautta. Kirjaa sen UUID ja käytä sitä tunnistetta jatkossa, koska nimiä muokataan ja kaksi yhteyttä voi jakaa saman nimikkeen. nmcli connection show luettelee olemassa olevat, ja yhteyden omien ominaisuuksien lukeminen kertoo, mistä tiedostosta se tuli ja mitä se tallentaa. Jos muokkaamasi UUID ei ole se, jonka työpöytä aktivoi, muokkauksesi ovat koristetta.

Salaisuudet asuvat omistajan tallennustilassa. Jokaisen tallennetun salaisuuden tyhjentäminen sen selvittämiseksi, mikä profiili on aktiivinen, on hidasta ja riskialtista; kysy sen sijaan yhteysobjektilta ja pidä yksityinen materiaali siellä, missä omistaja odottaa sitä.

Tuotu yhteys ei tarvitse graafista istuntoa toimiakseen, mutta se voi silti tarvita tunnistetietojen lähteen. Käynnistyykö se ilman valvontaa, riippuu sen oikeuksista ja salaisuuksista, ei työpöydän läsnäolosta.

Lue yksikön mallipohja ennen kuin luotat siihen

Kun paketti toimittaa upstream-tyylisen asiakasyksikön, office-niminen instanssi vastaa tiedostoa %i.conf yksikön määritetyssä hakemistossa, joka 2.6-mallipohjassa on /etc/openvpn/client. Lue asennettu yksikkö ja kaikki lisätiedostot ennen kuin luotat oppaan esimerkkiin, koska jakelut siirtävät polkuja. Käsikäynnistys päätteestä ei todista mitään palvelun näkemyksestä tiedostoihin, salaisuuksiin tai oikeuksiin. Työpöydän salasanavalinta ei sekään todista, että ei-interaktiivisella yksiköllä on hyväksytty tapa saada sama salasana.

Anna yksikölle vain se, mitä se tarvitsee. Koko palvelun sandboxin löysääminen siksi, että yksi viitattu tiedosto ei ole luettavissa, vaihtaa pienen oikeuskorjauksen suureen altistukseen, ja virhe yleensä nimeää tiedoston, joka kaipaa huomiota.

Poista kaksoiskappale menettämättä pääsyä

Jos molemmat omistajat voivat käynnistää tunnelin, toinen voittaa lopulta väärällä hetkellä ja häviäjän reitit ja laite jäävät jälkeen. Poista tahaton kaksoiskappale sen omistajan kautta, pidä palautuspolku avoinna ja varmista, että jäljelle jäävä omistaja yhdistää edelleen uudelleenkäynnistyksen jälkeen. Kaksi tarkoituksella erillistä VPN:ää erilaisilla reitityskäytännöillä on toinen suunnittelukysymys, ei lupa kahdelle käynnistyspolulle kilpailla yhdestä yhteydestä.

Kirjoita sitten muistiin hyväksymäsi elinkaari: manuaalinen aktivointi, kirjautuminen tai käynnistys ja uudelleenyhdistäminen. Tarkista tallennettu päätepiste, vastapuolen todennus ja resurssi, johon tunnelin on tarkoitus päästä, koska työpöydän uudelleenasennus ei korvaa tietoa siitä, mikä asetus oli käytössä.