Désactiver la connexion automatique du VPN sans supprimer le profil

À chaque démarrage, le tunnel monte avant que quiconque ait décidé de l'utiliser, et la case à cocher qui semble responsable ne fait rien quand on la décoche. Ce n'est pas un bug de l'interface. NetworkManager ne connecte pas les profils VPN de lui-même ; un VPN démarre parce qu'une connexion de base le nomme. La correction se trouve sur l'autre profil, et c'est une seule propriété.

L'indicateur que vous décochez n'est pas consulté

Le profil VPN a sa propre propriété de connexion automatique, et pour les connexions VPN le gestionnaire ne s'en sert pas pour démarrer quoi que ce soit. La décocher rend le profil cohérent à la lecture et ne change aucun comportement, et c'est précisément pourquoi la surprise survit à la modification.

Le mécanisme documenté est une liste de connexions secondaires sur le profil de base. Quand la connexion Wi-Fi ou Ethernet s'active, le gestionnaire active aussi les UUID de VPN qui y figurent. Seules les connexions VPN sont prises en charge dans cette liste aujourd'hui, et si elle contient plusieurs entrées, une modification les affecte toutes.

La priorité de connexion automatique classe les candidats ; ce n'est pas non plus un interrupteur d'arrêt.

Lisez les deux profils avant de modifier

Notez d'abord les noms, les UUID et les types, car les noms affichés se répètent et la connexion de base se confond facilement avec le VPN. Lisez ensuite les propriétés qui comptent de chaque côté.

nmcli -f NAME,UUID,TYPE connection show
nmcli -f connection.secondaries connection show "Wired connection 1"
nmcli -f connection.autoconnect,connection.autoconnect-priority connection show "Work VPN"

Dans l'éditeur graphique, les mêmes valeurs apparaissent sous des libellés différents. L'onglet General de la connexion de base contient le réglage de connexion automatique et, si le greffon est installé, l'option de monter un VPN avec elle. Un bureau traduit peut nommer le champ de priorité connexion automatique avec priorité, ce qui n'est pas l'interrupteur d'activation. Confondre les deux produit une case décochée et un démarrage inchangé.

Retirez une entrée, pas toute la liste

La propriété est une liste, donc affecter une nouvelle valeur remplace tout son contenu. Utilisez le signe moins initial pour retirer un seul UUID et laisser le reste de la liste intact.

nmcli connection modify uuid BASE_UUID -connection.secondaries VPN_UUID
nmcli -f connection.secondaries connection show "Wired connection 1"

Vérifiez la liste avant et après, surtout sur une machine qui dépend d'un second VPN.

Les profils peuvent être limités à certains utilisateurs. Quand c'est le cas, le compte depuis lequel vous modifiez doit figurer dans cette liste ; sinon la commande peut être refusée, ou le gestionnaire peut écrire un profil par utilisateur séparé que le propriétaire d'origine ne voit jamais. Vérifiez le propriétaire avant de conclure qu'une modification n'a rien fait, car une copie silencieuse par utilisateur explique beaucoup de résultats déroutants.

Testez une vraie transition, pas un redémarrage manuel

Reconnecter le profil de base est le test pertinent. Descendez-le puis remontez-le, ou redémarrez, puis regardez la liste active, la liste des interfaces et une recherche de route vers une adresse interne.

nmcli connection show --active
ip -brief address
ip route get 10.8.0.1

Si le tunnel apparaît encore, le propriétaire restant est généralement un script. Le journal du gestionnaire indique quel profil a été activé et quand, et le répertoire dispatcher est l'endroit où vivrait un hook qui appelle nmcli connection up lors d'un événement d'interface. Un hook est invisible dans l'éditeur de profils, et c'est pourquoi il survit à chaque expérience de case à cocher.

Gardez le chemin manuel fonctionnel, car c'est l'exigence réelle.

À quoi ressemble un bon résultat

Le profil reste installé avec sa passerelle, son certificat et ses identifiants. Il ne s'active pas au démarrage et il monte quand vous le demandez. Ces trois affirmations sont le test d'acceptation.

Écrivez l'UUID de la connexion de base dans le runbook, car c'est le profil que vous modifierez la prochaine fois.

Un VPN disponible mais non automatique est un choix de configuration plutôt qu'une fonctionnalité manquante, et il n'est qu'à une propriété.