Un perfil, dous propietarios: NetworkManager ou systemd

Non pasa nada cun ficheiro .ovpn ata que algo o posúe. Nun escritorio Pi os propietarios plausibles son NetworkManager, que garda unha conexión importada no seu propio ficheiro de chaves, e unha unidade de servizo independente que le unha configuración dun directorio. Son dous modelos de funcionamento con almacenamento distinto, tratamento distinto das credenciais e regras de activación distintas. Escoller un deles a propósito é toda a tarefa; copiar o ficheiro nos dous lugares só fai que a escolla sexa accidental.

Ambos poden funcionar nunha máquina, pero non no mesmo túnel no mesmo momento, e o conflito parece unha avaría de rede e non unha de configuración.

Dúas formas de posuír o mesmo túnel

O complemento OpenVPN de NetworkManager engade un editor e un servizo que xestionan a conexión por vostede, e instalar o programa OpenVPN non instala esa integración. Unha unidade independente é o arranxo contrario: sen editor, sen integración co escritorio, un só ficheiro de configuración e os privilexios que conceda a unidade. A primeira garda o estado da conexión na súa propia base de datos, a segunda gárdao onde digan o perfil e a unidade. A maior parte da confusión vén de supoñer que un perfil importado e un ficheiro copiado son o mesmo obxecto.

Non son dúas visións dunha soa cousa. Editar o ficheiro descargado non cambia nin o que gardou NetworkManager nin o que le a unidade, e calquera dos dous pode ser o que construíu o túnel que acaba de probar.

Siga a conexión que o escritorio usa de verdade

A operación de importación documentada, nmcli connection import type openvpn file office.ovpn, crea unha conexión a través do complemento. Anote o seu UUID e use ese identificador despois, porque os nomes edítanse e dúas conexións poden compartir unha etiqueta. nmcli connection show enumera o que existe, e ler as propiedades da propia conexión dille de que ficheiro veu e que garda. Se o UUID que edita non é o que activa o escritorio, as súas edicións son decoración.

Os segredos viven no almacén do propietario. Vazar cada segredo gardado para saber que perfil está activo é lento e arriscado; pregunte ao obxecto de conexión no seu lugar e manteña o material privado onde o propietario o espera.

Unha conexión importada non necesita unha sesión gráfica para funcionar, pero pode seguir necesitando unha fonte de credenciais. Que arrinque sen supervisión depende dos seus permisos e segredos, non de que o escritorio estea presente.

Lea o modelo da unidade antes de confiar nel

Onde o paquete inclúe a unidade de cliente ao estilo upstream, unha instancia chamada office corresponde a %i.conf dentro do directorio configurado da unidade, que para o modelo 2.6 é /etc/openvpn/client. Lea a unidade instalada e calquera ficheiro adicional antes de confiar nun exemplo dunha guía, porque as distribucións moven rutas. Unha execución manual desde un terminal non demostra nada sobre a visión que o servizo ten dos ficheiros, os segredos ou os permisos. O diálogo de contrasinal do escritorio tampouco é proba de que unha unidade non interactiva teña unha forma aprobada de obter o mesmo contrasinal.

Dea á unidade só o que necesita. Afrouxar todo o sandbox do servizo porque un ficheiro referenciado non se pode ler cambia unha corrección pequena de permisos por unha exposición grande, e o erro adoita nomear o ficheiro que precisa atención.

Retire o duplicado sen perder o acceso

Se ambos propietarios poden arrincar o túnel, un acabará gañando no momento equivocado e as rutas e o dispositivo do perdedor quedarán atrás. Elimine o duplicado accidental a través do seu propio propietario, manteña aberta unha vía de recuperación e confirme que o propietario restante segue conectando tras un reinicio. Dúas VPN deliberadamente separadas con políticas de encamiñamento distintas son outra cuestión de deseño, non un permiso para que dúas vías de arrinque compitan por unha conexión.

Despois anote o ciclo de vida que aceptou: activación manual, inicio de sesión, ou arrinque e reconexión. Comprobe o extremo gardado, a autenticación da outra parte e o recurso ao que o túnel debe chegar, porque reinstalar o escritorio non substitúe saber que configuración se executou.