Pourquoi l’éditeur VPN n’enregistre pas un nouveau profil

Le bouton Enregistrer reste gris alors que tous les champs semblent remplis, et la passerelle n’a pas encore vu un seul paquet. Rien n’a été rejeté, car rien n’a été envoyé. Le contrôle reflète ce que l’éditeur local peut vérifier du profil affiché. C’est une question plus étroite que celle de savoir si le compte fonctionne, et elle se règle sans le réseau.

Le bouton reflète la validation locale

Un contrôle désactivé a plus d’une cause locale, et elles se ressemblent toutes de l’extérieur. Une référence obligatoire peut manquer, un fichier référencé peut être illisible pour l’utilisateur qui lance l’éditeur, ou le plugin qui traiterait la méthode choisie peut ne pas être installé du tout. Les problèmes de permissions sur le profil lui-même produisent le même bouton gris qu’un champ vide.

Lisez le message de validation avant de modifier quoi que ce soit, car le message nomme le champ que l’éditeur conteste. Deviner le formulaire prend plus de temps que lire la phrase que l’éditeur a déjà écrite.

Faire correspondre les champs à la méthode choisie

Les entrées requises découlent de la méthode de connexion, pas de la disposition de la boîte de dialogue. Une identité par certificat exige un certificat client et l’accès à sa clé privée correspondante, et elle a toujours besoin d’un moyen de vérifier le serveur. Une méthode par compte a d’autres exigences et demande aussi une vérification du serveur. Certains déploiements exigent les deux à la fois, et c’est pourquoi un formulaire qui semble redondant est souvent correct.

Utilisez le profil pris en charge et les instructions d’enrôlement de l’opérateur au lieu d’assembler les champs à l’intuition. Mettre un certificat client dans le champ CA, traiter un certificat public comme une clé privée ou saisir un mot de passe de compte dans une case de phrase secrète de clé privée sont des erreurs courantes qui produisent toutes le même refus silencieux d’enregistrer.

Vérifiez chaque référence comme l’objet qu’elle est censée être. Un nom de fichier avec le bon suffixe ne prouve rien sur sa lisibilité, son propriétaire ou son appartenance à cette identité. Une clé privée lisible uniquement par root ne se charge pas dans une session de bureau, et l’éditeur le signale comme un échec de validation et non comme une erreur de permission.

Changer de méthode uniquement pour rendre le bouton cliquable change ce que le profil signifie. Saisir des mots de passe bidon puis revenir en arrière peut laisser des valeurs enregistrées que personne ne voulait. Cela masque aussi l’exigence qui manquait réellement, laquelle revient comme un échec de connexion une heure plus tard.

Séparer les secrets stockés des secrets de l’agent

Certaines informations appartiennent au profil enregistré et un autre identifiant peut être fourni de manière interactive à l’activation. L’API de connexion de NetworkManager garde la vérification de la connexion, la vérification des secrets et la découverte des secrets comme des opérations distinctes, et sa propre documentation prévient que les indices ne peuvent pas toujours déterminer tout ce dont une connexion a besoin.

Cette distinction explique un champ de mot de passe vide. Il peut être correct parce qu’un agent de secrets fournira la valeur, et il peut être faux parce que cette connexion n’a aucun agent disponible. Les indicateurs attachés à un secret décident s’il appartient au système, à l’agent ou s’il n’est pas enregistré du tout.

Choisissez l’indicateur qui correspond au cycle de vie. Un trousseau de bureau déverrouillé après la connexion n’est pas disponible pour un service qui démarre avant l’ouverture de session, si bien qu’un profil qui fonctionne en interactif peut échouer au démarrage sans aucune modification du profil. Cette défaillance ressemble à un profil cassé et n’est en réalité qu’un décalage de planification.

Un enregistrement réussi ne prouve pas non plus que l’agent prévu répondra à la prochaine invite. Conservez la propriété du compte et de la clé privée au lieu de copier chaque secret dans un fichier lisible par le système pour faire taire la boîte de dialogue.

Lire les étapes suivantes séparément

Une fois le profil enregistré, inspectez son identifiant, son point de terminaison, son plugin et sa méthode sans demander de valeurs secrètes. Un import fourni par l’opérateur peut aider, mais l’import est son propre analyseur avec ses propres fonctions prises en charge, si bien qu’un import rejeté n’est pas la même défaillance qu’un enregistrement rejeté.

Activez seulement ensuite via le gestionnaire prévu et le compte qu’il attend. Une erreur d’identité de serveur, un compte rejeté, une route manquante et une permission d’application refusée appartiennent tous à des étapes ultérieures, et les signaler comme un problème d’éditeur envoie l’enquête au mauvais endroit.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Corp VPN" | grep -E "vpn\.|802-1x"

Si Enregistrer reste désactivé avec les entrées documentées, notez la version de l’éditeur, la version du plugin, la méthode sélectionnée et l’erreur locale exacte. Un rapport qui nomme le profil valide que l’éditeur ne peut pas représenter est utile ; une suite d’identifiants aléatoires qui ont brièvement rendu le bouton cliquable ne l’est pas.