Desactivar a conexión automática da VPN sen borrar o perfil

En cada arranque o túnel aparece antes de que ninguén decidise usalo, e a caixa que parece responsable non fai nada cando se desmarca. Non é un fallo da interface. NetworkManager non conecta só os perfís de VPN; unha VPN iníciase porque unha conexión base a nomea. A corrección está no outro perfil, e é unha soa propiedade.

O indicador que desmarcas non se consulta

O perfil de VPN ten a súa propia propiedade de conexión automática, e para as conexións VPN o xestor non a usa para iniciar nada. Desmarcala fai que o perfil se lea de forma coherente e non cambia ningún comportamento, e é xusto por iso polo que a sorpresa sobrevive á edición.

O mecanismo documentado é unha lista de conexións secundarias no perfil base. Cando a conexión Wi-Fi ou Ethernet se activa, o xestor activa tamén os UUID de VPN que figuran nela. Hoxe só se admiten conexións VPN nesa lista, e se contén varias entradas, unha edición afecta todas.

A prioridade de conexión automática ordena os candidatos; tampouco é un interruptor de apagado.

Le os dous perfís antes de editar

Anota primeiro nomes, UUID e tipos, porque os nomes visibles repítense e a conexión base confúndese facilmente coa VPN. Despois le as propiedades que importan en cada lado.

nmcli -f NAME,UUID,TYPE connection show
nmcli -f connection.secondaries connection show "Wired connection 1"
nmcli -f connection.autoconnect,connection.autoconnect-priority connection show "Work VPN"

No editor gráfico os mesmos valores aparecen con etiquetas distintas. A pestana General da conexión base contén o axuste de conexión automática e, cando o complemento está instalado, a opción de levantar unha VPN con ela. Un escritorio traducido pode etiquetar o campo de prioridade como conexión automática con prioridade, que non é o interruptor de activación. Confundir ambos produce unha caixa desmarcada e un arranque sen cambios.

Elimina unha entrada, non a lista enteira

A propiedade é unha lista, así que asignar un valor novo substitúe todo o que contén. Usa o signo menos inicial para quitar un só UUID e deixar intacto o resto da lista.

nmcli connection modify uuid BASE_UUID -connection.secondaries VPN_UUID
nmcli -f connection.secondaries connection show "Wired connection 1"

Comproba a lista antes e despois, sobre todo nunha máquina que depende dunha segunda VPN.

Os perfís poden limitarse a usuarios concretos. Cando o están, a conta desde a que editas debe aparecer nesa lista; se non, o comando pode ser rexeitado, ou o xestor pode escribir un perfil por usuario separado que o propietario orixinal nunca ve. Comproba o propietario antes de concluír que unha edición non fixo nada, porque unha copia silenciosa por usuario explica moitos resultados confusos.

Proba unha transición real, non un reinicio manual

Reconectar o perfil base é a proba significativa. Báixao e sóbeo, ou reinicia, e despois mira a lista activa, a lista de interfaces e unha consulta de ruta para un enderezo interno.

nmcli connection show --active
ip -brief address
ip route get 10.8.0.1

Se o túnel segue aparecendo, o propietario restante adoita ser un script. O rexistro do xestor mostra que perfil se activou e cando, e o directorio dispatcher é onde viviría un hook que chame nmcli connection up ante un evento de interface. Un hook é invisible no editor de perfís, e por iso sobrevive a cada experimento coa caixa.

Mantén operativa a vía manual, porque ese é o requisito real.

Como se ve un bo resultado

O perfil queda instalado coa súa pasarela, o seu certificado e as súas credenciais. Non se activa ao arrancar e si sobe cando o pides. Esas tres afirmacións son a proba de aceptación.

Escribe o UUID da conexión base no runbook, porque é o perfil que editarás a próxima vez.

Unha VPN dispoñible pero non automática é unha decisión de configuración e non unha función que falte, e está a unha propiedade de distancia.