NM OpenVPN: it bewarre profyl is net dyn .ovpn-bestân

Itselde .ovpn bestân ferbynt fan in shell en ferrint nei import yn NetworkManager. De natuerlike konklúzje is dat de VPN stikken is. De wierskynliker ferklearring is lytser: NetworkManager hold it bestân net, it ymportearre in part derfan yn in bewarre ferbining, en de rinnende tunnel brûkt ynstee dy bewarre gegevens. Wat it bestân no seit, is net relevant foar wat it profyl befettet.

It bestân is net it profyl

Import is in oersetting, gjin montaazje. Opsjes dy’t de plugin begrypt, wurde kaaien yn it vpn.data wurdboek fan ’e ferbining; opsjes dy’t er net begrypt, wurde fuortsmiten of earne oars fêstlein, en it oarspronklike paad is allinnich in ferwizing. It boarnebestân letter bewurkje feroaret neat oan ’e ferbining dy’t al bewarre is.

Dy kleau ferklearret in hiele famylje rapporten: de dielde kaai waard rotearre, it bestân waard bywurke, en de tunnel mislearret noch. It bewarre profyl wiist noch op it âlde paad of de âlde wearde, en de kommandorigel bliuwt wurkjen om’t er it bestân lêst datsto bewurke hast. Twa kliïnten, twa boarnen fan wierheid, en mar ien fan harren waard bywurke.

Lês it bewarre profyl, net de dialooch

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Brûk de UUID as twa profilen in namme diele, en befêstigje dat it tsjinsttype de OpenVPN plugin is dy’tsto ferwachtet, en net in oar VPN-type dat tafallich ynstallearre is. Ferlykje dan it einpunt, it ferfier en de sertifikaatferwizings mei de wurkjende oanrop.

In wearde dy’t yn in grafyske bewurker sichtber is, is gjin bewiis dat se bewarre waard. Bewarje, iepenje opnij en lês har werom fia de kommandorigel; histoaryske bewarflaters binne in reden om de bewarre gegevens te kontrolearjen, gjin bewiis dat elke hjoeddeiske build deselde bug hat. De kontrôle kostet ien kommando.

Twa kaaien, en in rjochting dy’t der ta docht

Foar in ferbining dy’t TLS-autentikaasje brûkt, bewarret de plugin it paad fan ’e dielde kaai yn ta en de rjochting yn ta-dir, as de útrulling der ien brûkt. Beide libje yn it gegevenswurdboek fan it profyl, en beide moatte oerienkomme mei wat de tsjinner ferwachtet.

Rjochting is in beslissing oan ’e tsjinnerkant dy’t op ’e kliïnt útdrukt wurdt. Ien kieze om’t in oanbuorjend profyl dy hat, is de manier wêrop in wurkjende kaai in hânskodding mislearje lit. As de tsjinnerkonfiguraasje gjin rjochting hat, soe de kliïnt gjin rjochting betinke moatte.

It kaai-bestân sels moat troch de plugin lêsber wêze yn ’e kontekst wêryn’t er echt rint. In beheind pakket hat in oare werjefte fan it bestânssysteem as in gewoane desktop-ynstallaasje, dus in paad dat yn dyn shell bestiet, kin foar de tsjinst ûnsichtber wêze.

Bywurkje ien ynfier, net it wurdboek

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

It foaroansteande plus bywurket yndividuele ynfieringen fan it wurdboek. Tawizen vpn.data sûnder it ferfangt it hiele wurdboek, en sa wurdt ien ûntbrekkende kaai fiif stikken ynstellingen. Lês it profyl werom nei de feroaring en befêstigje dat de oare ynfieringen oerlibbe hawwe. In wurdboek dat syn fiere einpunt en syn sertifikaten kwytrekke is, is in folle langer middei as dy’tsto begûn bist.

Ferbyn dy opnij fia de normale kontrôles en sjoch nei de stap dy’t mislearret. As de poarte fan ’e dielde kaai no trochkomt en de kliïnt in sertifikaat- of brûkersautentikaasjeflater rapportearret, bist foarút gien en it folgjende ûndersyk is in oar.

Ferwikselje de modi fan it kontrôlekanaal net

tls-auth, tls-crypt, en tls-crypt-v2 binne ferskillende opstellings. In kaai-bestân dat liket, makket se net útwikselber, en it ynfoljen fan ’e TLS-Auth-fjilden om’t in oar profyl in opmakke kaai befettet, produsearret in profyl dat mislearret op in wize dy’t op in ferkearde kaai liket.

Brûk de plugin-mapping dy’t by de modus yn ’e tsjinnerkonfiguraasje past. As de modus ûndúdlik is, freegje de eigner fan ’e tsjinner ynstee fan te rieden út ’e earste rigel fan it bestân.

Hâld in herstelpaad as de tunnel dyn beheartsesje draacht. In bewarre feroaring is net needsaaklik in tapaste feroaring, en in slagge import is gjin bewiis dat elke boarne-opsje stipe waard. Beide kleauwen binne it witten wurdich foardatsto de keppeling wer ferbynt dêr’tsto trochhinne wurkest.