NM OpenVPN: o perfil gardado non é o seu ficheiro .ovpn

O mesmo .ovpn ficheiro conéctase desde un shell e expira tras importalo en NetworkManager. A conclusión natural é que a VPN está rota. A explicación máis probable é máis pequena: NetworkManager non conservou o ficheiro, importou parte del nunha conexión gardada e o túnel en execución usa no seu lugar eses datos gardados. O que o ficheiro diga agora é irrelevante para o que contén o perfil.

O ficheiro non é o perfil

A importación é unha tradución, non unha montaxe. As opcións que o complemento entende convértense en claves do vpn.data dicionario da conexión; as opcións que non entende descártanse ou rexístranse noutro lugar, e a ruta orixinal só é unha referencia. Editar o ficheiro de orixe despois non cambia nada na conexión que xa está gardada.

Ese oco explica toda unha familia de informes: a clave compartida rotouse, o ficheiro actualizouse e o túnel segue fallando. O perfil gardado segue apuntando á ruta antiga ou ao valor antigo, e a liña de comandos segue funcionando porque le o ficheiro que vostede editou. Dous clientes, dúas fontes de verdade, e só unha delas se actualizou.

Lea o perfil gardado, non o diálogo

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Use o UUID cando dous perfís comparten un nome e confirme que o tipo de servizo é o OpenVPN complemento que espera, e non outro tipo de VPN que resulte estar instalado. Despois compare o punto de conexión, o transporte e as referencias de certificado coa invocación que funciona.

Un valor visible nun editor gráfico non é proba de que se gardase. Garde, volva abrir e lea de novo pola liña de comandos; os defectos históricos de gardado son unha razón para comprobar os datos almacenados, non unha proba de que cada compilación actual teña o mesmo erro. A comprobación custa un comando.

Dúas claves e unha dirección que importa

Para unha conexión que usa autenticación TLS, o complemento garda a ruta da clave compartida en ta e a dirección en ta-dir, cando o despregamento usa unha. Ambas viven no dicionario de datos do perfil, e ambas deben coincidir co que espera o servidor.

A dirección é unha decisión do servidor expresada no cliente. Elixir unha porque un perfil veciño a ten é como unha clave que funciona acaba fallando un aperto de mans. Se a configuración do servidor non ten dirección, o cliente non debería inventar unha.

O ficheiro de clave en si debe ser lexible polo complemento no contexto no que realmente se executa. Un paquete confinado ten unha vista do sistema de ficheiros distinta da dunha instalación de escritorio normal, así que unha ruta que existe no seu shell pode ser invisible para o servizo.

Actualice unha entrada, non o dicionario

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

O signo máis inicial actualiza entradas individuais do dicionario. Asignar vpn.data sen el substitúe todo o dicionario, e así é como unha clave que falta se converte en cinco axustes rotos. Volva ler o perfil despois do cambio e confirme que as outras entradas sobreviviron. Un dicionario que perdeu o seu punto de conexión remoto e os seus certificados é unha tarde moito máis longa que a que comezou.

Volva conectar cos controis normais e observe a etapa que falla. Se a porta da clave compartida agora pasa e o cliente informa dun erro de certificado ou de autenticación de usuario, avanzou e a seguinte investigación é outra.

Non confunda os modos da canle de control

tls-auth, tls-crypt, e tls-crypt-v2 son disposicións distintas. Un ficheiro de clave que parece similar non os fai intercambiables, e encher os campos TLS-Auth porque outro perfil contén unha clave formatada produce un perfil que falla dun xeito que se parece a unha clave incorrecta.

Use a asignación do complemento que coincida co modo da configuración do servidor. Cando o modo non está claro, pregunte ao propietario do servidor en vez de adiviñar pola primeira liña do ficheiro.

Manteña unha vía de recuperación cando o túnel leve a súa sesión de xestión. Un cambio gardado non é necesariamente un cambio aplicado, e unha importación correcta non é proba de que se admitise cada opción de orixe. Paga a pena coñecer ambos os ocos antes de reconectar a ligazón pola que traballa.