Déplacer un profil VPN de NetworkManager vers un autre ordinateur

Deux machines peuvent afficher le même nom de VPN dans le menu et n'avoir rien d'autre en commun. La page de réglages est la partie qui voyage le plus mal, car le contenu réel du profil est réparti entre un fichier de clés, un trousseau, un greffon et une poignée de chemins de fichiers absolus. Trois questions décident si vous devez exporter, copier ou vous réinscrire. Posez-les avant de copier quoi que ce soit.

Partez du profil qui fonctionne vraiment

Listez les connexions et lisez l'UUID plutôt que le nom. nmcli connection show affiche les deux, et l'UUID est le seul champ qui distingue l'entrée fonctionnelle d'une importation plus ancienne portant une étiquette identique. Renommez ou supprimez le doublon obsolète sur la machine source avant de commencer, afin que ce que vous copiez soit sans ambiguïté. Notez ensuite le greffon et le type de connexion, car ces deux éléments déterminent ce que l'export signifie même. Un profil que vous ne pouvez pas identifier précisément est un profil que vous ne devriez pas migrer.

Cette étape coûte une minute. Elle évite l'échec le plus courant, qui consiste à déplacer le mauvais profil puis à déboguer la destination.

Exporter ou copier le fichier de clés ?

NetworkManager peut exporter certains profils VPN vers un fichier lorsque le greffon installé implémente l'export, et pour OpenVPN le résultat ressemble à une configuration autonome. Copier le fichier de clés natif est l'autre voie : il préserve chaque réglage, mais il attend le même greffon et un propriétaire autorisé sur la destination. Aucune n'est universellement meilleure, et aucune n'est une sauvegarde. Choisissez en demandant ce qui doit rester identique.

L'export convient à un déménagement vers une machine qui exécutera le même greffon, surtout lorsque vous voulez un seul artefact que vous pouvez inspecter. Le fichier de clés convient à une restauration sur une distribution identique où les permissions et les chemins peuvent être reproduits exactement.

Ce à quoi le profil pointe encore

Un profil n'est pas autonome simplement parce qu'il s'est exporté proprement. L'autorité de certification, le certificat client, la clé privée et tout matériel TLS supplémentaire sont généralement des fichiers séparés référencés par chemin, et ces chemins existent sur la machine que vous quittez. Listez chaque fichier référencé avant de transférer quoi que ce soit.

Décidez ensuite si le même identifiant doit être utilisé du tout. Un fichier du même nom sur une autre machine n'est pas la même identité, et certains déploiements attendent plutôt une nouvelle inscription.

Les secrets ne sont pas dans le fichier

Les mots de passe et les phrases secrètes peuvent vivre dans le fichier de clés, dans un trousseau utilisateur ou nulle part parce que l'utilisateur est invité à chaque fois. Seul le premier de ces cas voyage avec une copie du fichier.

Vérifiez les indicateurs de mot de passe du profil source avant de supposer que le déplacement ne demandera aucune attention. Un profil configuré pour demander, ou pour stocker le secret auprès d'un agent de session, arrive sur la nouvelle machine sans identifiant et avec une tentative de connexion qui échoue sans expliquer pourquoi. Reproduisez-y le flux de secrets approuvé au lieu d'exporter un mot de passe en clair dans un fichier pour faciliter le déplacement. Ce raccourci transforme une migration en divulgation.

Retirez correctement l'ancienne copie

Acceptez la nouvelle configuration en utilisant l'application prévue à travers elle, et gardez l'ancien chemin disponible jusque-là. Importez, relisez le point de terminaison, l'authentification, les routes et le DNS, puis connectez-vous et confirmez la ressource privée. Une importation qui produit une icône verte n'est pas une acceptation.

Supprimer un profil local ne révoque rien. Le certificat et les identifiants restent valides jusqu'à ce que l'opérateur les retire, donc la mise hors service est une demande distincte à celui qui les a émis. Supprimez les anciens fichiers, supprimez l'entrée du trousseau et notez quelle identité a été retirée et quand. Si l'ancienne machine est transmise, cette trace compte plus que la suppression.