Keyfile ou Netplan: onde se garda realmente o perfil de VPN?

Atopar o ficheiro que importou é a parte fácil e moitas veces o comezo equivocado. O importante é que ficheiro le hoxe NetworkManager como a conexión gardada, e iso depende dun identificador de conexión e do backend de configuración que os paquetes instalados usan realmente. Editar a importación antes de responder esa pregunta é como unha VPN que funciona se converte en dúas configuracións medio correctas.

O ficheiro importado non é o perfil gardado

Tres nomes flotan arredor de cada problema de VPN: o nome da conexión, o nome do ficheiro que importou e a interface virtual que aparece cando o túnel se levanta. Ningún deles identifica a configuración gardada, e o nome dunha conexión pódese editar mentres o ficheiro de detrás conserva o seu identificador orixinal.

Comece cun inventario de só lectura e escolla a VPN desexada por identificador en lugar de por etiqueta:

nmcli -f NAME,UUID,TYPE connection show

Deixe os nomes de host dos extremos e as etiquetas de identidade fóra de calquera inventario que pegue nun ticket. A parte útil é o tipo e o identificador; o resto é contexto que un descoñecido non necesita. Redacte o resto antes de compartilo e diga que o fixo, para que ninguén se pregunte que significan os ocos.

As localizacións do keyfile non significan o mesmo

Co complemento keyfile nativo, os ficheiros de conexión poden aparecer en tres directorios, e a diferenza entre eles é a persistencia, non a comodidade.

Editar a copia en tempo de execución parece exitoso ata o seguinte inicio, cando o cambio se evapora e o ficheiro parece revertido misteriosamente. Editar a copia que fornece o paquete funciona ata que unha actualización a substitúe, que é unha versión máis lenta e confusa da mesma lección.

A documentación do keyfile engade un detalle que cómpre respectar: eses ficheiros poden conter claves privadas e frases de contrasinal, e NetworkManager ignora calquera keyfile que usuarios distintos de root poidan ler ou escribir. Ampliar os permisos do directorio para buscar un axuste rompe o comportamento de carga que intentaba inspeccionar.

Cando Netplan posúe a persistencia

En Ubuntu, a integración de NetworkManager descrita na documentación de Netplan, dispoñible desde 23.10, cambia onde vive a copia duradeira. Para as conexións non temporais escribe /etc/netplan/90-NM-<connection UUID>.yaml e xera un perfil efémero de NetworkManager baixo /run/NetworkManager/system-connections/.

Iso é unha integración de distribución, non unha regra para toda instalación de NetworkManager. Confirme que os paquetes instalados realmente a usan antes de ir buscar un ficheiro YAML. Lembre tamén que un perfil en tempo de execución pode ser unha representación xerada doutra cousa en lugar da fonte que paga a pena editar. Dous comandos de comprobación aforran unha hora de editar o ficheiro equivocado.

O exemplo documentado garda unha conexión OpenVPN mediante o tipo Netplan nm-devices con datos de paso de NetworkManager. Que Netplan non teña unha interpretación dedicada dun campo VPN concreto non significa que a súa VPN gardada se perdera; significa que o campo viaxa como datos opacos.

As interfaces transitorias non son perfís

A activación crea conexións e interfaces virtuais temporais que nunca debían persistir. A integración deliberadamente non escribe un ficheiro YAML novo para cada unha, así que a súa ausencia en /etc/netplan non di nada sobre se o perfil pai está gardado.

Se persegue un ficheiro que aparece e desaparece, probablemente estea mirando un destes e non a súa configuración. Comprobe se sobrevive a un reinicio antes de sacar calquera conclusión do seu contido. Un ficheiro en tempo de execución que desaparece ao reiniciar dille que nunca foi a fonte, e esa única observación redirixe toda a investigación. Tamén explica por que unha edición pareceu exitosa naquel momento.

Segredos e propiedade

Un perfil pode referenciar un certificado ou unha clave gardados noutro lugar por completo, e un contrasinal pode pertencer a NetworkManager, ser fornecido por un axente secreto da sesión de usuario, ou non gardarse deliberadamente. Polo tanto, localizar un só ficheiro resolve moi pouco sobre o que esixirá un arranque sen supervisión.

Inspeccione as referencias e os indicadores de segredos sen imprimir valores secretos. Un inicio de sesión de escritorio pode facer dispoñible un axente que faltaba durante o arranque, e copiar un ficheiro en tempo de execución xerado non reproduce ese axente. O síntoma práctico é un túnel que conecta cando unha persoa inicia sesión e falla cando a máquina arrinca soa. Ese patrón apunta á propiedade dos segredos, non ao encamiñamento.

Faga os cambios aprobados a través do xestor que posúe a conexión e despois verifique tanto o identificador gardado como a conexión efectiva. Manteña un único propietario persistente, porque editar a importación, un keyfile xerado e unha fonte YAML por separado deixa tres explicacións competidoras do que usará a próxima reconexión. Escolla a que realmente persiste, edite só esa e anote no ticket que ficheiro tratou como autoritativo. A seguinte persoa agradeceralle unha liña de procedencia.