פרופיל אחד, שני בעלים: NetworkManager או systemd

שום דבר לא קורה לקובץ .ovpn עד שמשהו מחזיק בו. בשולחן עבודה של Pi הבעלים הסבירים הם NetworkManager, ששומר חיבור מיובא בקובץ המפתח שלו, ויחידת שירות עצמאית שקוראת תצורה מתיקייה. אלה שני מודלים של הפעלה עם אחסון שונה, טיפול שונה בהרשאות גישה וכללי הפעלה שונים. בחירה מודעת באחד מהם היא כל המשימה; העתקת הקובץ לשני המקומות רק הופכת את הבחירה למקרית.

שניהם יכולים לעבוד במכונה אחת, אבל לא באותה מנהרה באותו רגע, והקונפליקט נראה כמו תקלת רשת ולא כמו תקלת תצורה.

שתי דרכים להחזיק באותה מנהרה

התוסף OpenVPN של NetworkManager מוסיף עורך ושירות שמנהלים את החיבור בשבילכם, והתקנת תוכנת OpenVPN אינה מתקינה את האינטגרציה הזו. יחידה עצמאית היא הסידור ההפוך: בלי עורך, בלי אינטגרציה עם שולחן העבודה, קובץ תצורה אחד וההרשאות שהיחידה מעניקה. הראשון שומר את מצב החיבור במסד הנתונים שלו, השני שומר אותו במקום שהפרופיל והיחידה אומרים. רוב הבלבול נובע מההנחה שפרופיל מיובא וקובץ מועתק הם אותו אובייקט.

הם אינם שתי תצוגות של דבר אחד. עריכת הקובץ שהורד משנה לא את מה שNetworkManager שמר ולא את מה שהיחידה קוראת, וכל אחד מהם עשוי להיות זה שבנה את המנהרה שזה עתה בדקתם.

עקבו אחר החיבור ששולחן העבודה באמת משתמש בו

פעולת הייבוא המתועדת, nmcli connection import type openvpn file office.ovpn, יוצרת חיבור דרך התוסף. רשמו את הUUID שלו והשתמשו במזהה הזה לאחר מכן, כי שמות נערכים ושני חיבורים יכולים לחלוק תווית אחת. nmcli connection show מציג מה קיים, וקריאת המאפיינים של החיבור עצמו אומרת לכם מאיזה קובץ הוא בא ומה הוא שומר. אם הUUID שאתם עורכים אינו זה ששולחן העבודה מפעיל, העריכות שלכם הן קישוט.

סודות חיים באחסון של הבעלים. שפיכת כל סוד שמור כדי לגלות איזה פרופיל פעיל היא איטית ומסוכנת; שאלו את אובייקט החיבור במקום, ושמרו חומר פרטי במקום שהבעלים מצפה לו.

חיבור מיובא אינו זקוק להפעלה גרפית כדי לרוץ, אבל הוא עדיין עשוי להזדקק למקור הרשאות גישה. אם הוא יעלה ללא השגחה תלוי בהרשאות ובסודות שלו, לא בנוכחות שולחן העבודה.

קראו את תבנית היחידה לפני שאתם מסתמכים עליה

כאשר החבילה מספקת את יחידת הלקוח בסגנון upstream, מופע בשם office מתאים לקובץ %i.conf בתיקייה המוגדרת של היחידה, שעבור תבנית 2.6 היא /etc/openvpn/client. קראו את היחידה המותקנת ואת כל קובצי התוספת לפני שתסמכו על דוגמה ממדריך, כי הפצות מעבירות נתיבים. הפעלה ידנית מהמסוף אינה מוכיחה דבר על האופן שבו השירות רואה קבצים, סודות או הרשאות. גם תיבת הסיסמה של שולחן העבודה אינה הוכחה שליחידה לא אינטראקטיבית יש דרך מאושרת להשיג את אותה סיסמה.

תנו ליחידה רק את מה שהיא צריכה. הרפיית כל ארגז החול של השירות מפני שקובץ מוזכר אחד אינו קריא מחליפה תיקון הרשאה קטן בחשיפה גדולה, והשגיאה בדרך כלל נוקבת בשם הקובץ שזקוק לתשומת לב.

הוציאו את הכפילות משימוש בלי לאבד גישה

אם שני הבעלים יכולים להפעיל את המנהרה, בסוף אחד מנצח ברגע הלא נכון והנתיבים וההתקן של המפסיד נשארים מאחור. הסירו את הכפילות המקרית דרך הבעלים שלה, השאירו נתיב שחזור פתוח, ואשרו שהבעלים שנותר עדיין מתחבר אחרי אתחול. שתי VPN נפרדות במכוון עם מדיניות ניתוב שונה הן שאלת תכנון אחרת, לא רשות לשני נתיבי הפעלה להתחרות על חיבור אחד.

לאחר מכן כתבו את מחזור החיים שקיבלתם: הפעלה ידנית, התחברות, או אתחול והתחברות מחדש. בדקו את נקודת הקצה השמורה, את אימות הצד השני ואת המשאב שהמנהרה אמורה להגיע אליו, כי התקנה מחדש של שולחן העבודה אינה מחליפה את הידיעה איזו תצורה רצה.