NM OpenVPN: tallennettu profiili ei ole .ovpn-tiedostosi

Sama .ovpn tiedosto yhdistää kuoresta ja vanhenee, kun se tuodaan NetworkManageriin. Luonnollinen johtopäätös on, että VPN on rikki. Todennäköisempi selitys on pienempi: NetworkManager ei pitänyt tiedostoa, vaan toi osan siitä tallennettuun yhteyteen, ja käynnissä oleva tunneli käyttää sen sijaan näitä tallennettuja tietoja. Mitä tiedosto nyt sanoo, on merkityksetöntä sen kannalta, mitä profiili sisältää.

Tiedosto ei ole profiili

Tuonti on käännös, ei liittäminen. Asetukset, jotka laajennus ymmärtää, muuttuvat yhteyden vpn.data sanakirjan avaimiksi; asetukset, joita se ei ymmärrä, hylätään tai kirjataan muualle, ja alkuperäinen polku on vain viite. Lähdetiedoston muokkaaminen jälkeenpäin ei muuta mitään jo tallennetussa yhteydessä.

Tämä aukko selittää kokonaisen raporttiperheen: jaettu avain vaihdettiin, tiedosto päivitettiin, ja tunneli epäonnistuu edelleen. Tallennettu profiili osoittaa edelleen vanhaan polkuun tai vanhaan arvoon, ja komentorivi toimii edelleen, koska se lukee tiedostoa, jota muokkasit. Kaksi asiakasta, kaksi totuuden lähdettä, ja vain yksi niistä päivitettiin.

Lue tallennettu profiili, älä valintaikkunaa

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Käytä UUID:tä, kun kahdella profiililla on sama nimi, ja varmista, että palvelutyyppi on odottamasi OpenVPN laajennus eikä toinen VPN-tyyppi, joka sattuu olemaan asennettuna. Vertaa sitten päätepistettä, siirtoa ja varmenneviittauksia toimivaan kutsuun.

Graafisessa editorissa näkyvä arvo ei ole todiste siitä, että se tallennettiin. Tallenna, avaa uudelleen ja lue se takaisin komentorivin kautta; historialliset tallennusvirheet ovat syy tarkistaa tallennetut tiedot, eivät todiste siitä, että jokaisessa nykyisessä koosteessa on sama virhe. Tarkistus maksaa yhden komennon.

Kaksi avainta ja suunta, jolla on merkitystä

TLS-todennusta käyttävälle yhteydelle laajennus tallentaa jaetun avaimen polun ta ja suunnan ta-dir, kun käyttöönotto käyttää sellaista. Molemmat elävät profiilin tietosanakirjassa, ja molempien on vastattava sitä, mitä palvelin odottaa.

Suunta on palvelinpuolen päätös, joka ilmaistaan asiakkaalla. Sen valitseminen siksi, että viereisellä profiililla on sellainen, on tapa, jolla toimiva avain alkaa epäonnistua kättelyssä. Jos palvelimen kokoonpanossa ei ole suuntaa, asiakkaan ei pitäisi keksiä suuntaa.

Avaintiedoston itsensä on oltava laajennuksen luettavissa siinä ympäristössä, jossa se todella toimii. Rajoitetulla paketilla on erilainen näkymä tiedostojärjestelmään kuin tavallisella työpöytäasennuksella, joten polku, joka on olemassa kuoressasi, voi olla palvelulle näkymätön.

Päivitä yksi merkintä, älä sanakirjaa

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Johtava plus päivittää yksittäisiä sanakirjan merkintöjä. Määrittäminen vpn.data ilman sitä korvaa koko sanakirjan, ja näin yksi puuttuva avain muuttuu viideksi rikkinäiseksi asetukseksi. Lue profiili takaisin muutoksen jälkeen ja varmista, että muut merkinnät säilyivät. Sanakirja, joka menetti etäpäätepisteensä ja varmenteensa, on paljon pidempi iltapäivä kuin se, jonka aloitit.

Yhdistä uudelleen tavallisilla säätimillä ja seuraa vaihetta, joka epäonnistuu. Jos jaetun avaimen portti menee nyt läpi ja asiakas ilmoittaa varmenne- tai käyttäjätodennusvirheestä, olet edennyt ja seuraava tutkimus on toinen.

Älä sekoita ohjauskanavan tiloja

tls-auth, tls-crypt, ja tls-crypt-v2 ovat erilaisia järjestelyjä. Samannäköinen avaintiedosto ei tee niistä vaihdettavia, ja TLS-Auth-kenttien täyttäminen siksi, että toisessa profiilissa on muotoiltu avain, tuottaa profiilin, joka epäonnistuu väärää avainta muistuttavalla tavalla.

Käytä laajennuksen mappausta, joka vastaa palvelimen kokoonpanon tilaa. Kun tila on epäselvä, kysy palvelimen omistajalta sen sijaan, että arvaisit tiedoston ensimmäisestä rivistä.

Pidä palautumispolku, kun tunneli kuljettaa hallintasessiotasi. Tallennettu muutos ei ole välttämättä sovellettu muutos, eikä onnistunut tuonti ole todiste siitä, että kaikki lähdeasetukset olisivat tuettuja. Molemmat aukot kannattaa tuntea ennen kuin yhdistät uudelleen linkin, jonka kautta työskentelet.