ה-Wi-Fi מתחבר מעצמו; ה-VPN זקוק לשיוך משני

המחשב הנייד מתחבר ל-Wi-Fi לפני שאתם מתיישבים, וה-VPN עדיין ממתין ללחיצה. הגדרת חיבור אוטומטי בפרופיל ה-VPN לא משנה דבר, כי המתג הזה שולט בהפעלה של הפרופיל עצמו ו-NetworkManager מתייחס ל-VPN כאל מלווה של חיבור בסיס. המנגנון המתועד הוא רשימת המשניים של חיבור הבסיס, וזו תכונה אחרת במקום אחר.

חיבור אוטומטי אינו המתג של ה-VPN

פרופיל Wi-Fi או Ethernet יכול להפעיל את עצמו כי הוא מחזיק בהתקן. פרופיל תוסף VPN אינו מחזיק בהתקן באותו מובן; הוא מופעל לצד חיבור שמחזיק בו. לכן דגל החיבור האוטומטי ב-VPN נראה נכון, נשמר כהלכה ואינו מייצר מנהרה. הדגל עונה על שאלה על הפרופיל, לא על הרשת שהוא זקוק לה.

קריאה כזו של המודל גם מסבירה את אופן הכשל. הבסיס מתחבר, שום דבר לא מבקש מה-VPN להתחיל, והשולחן מציג VPN מנותק לצד רשת מחוברת. שום דבר לא שבור; השיוך מעולם לא נוצר.

זהו שני הפרופילים לפי UUID

nmcli -f NAME,UUID,TYPE connection show

בחרו את פרופיל ה-Wi-Fi או ה-Ethernet שאמור להפעיל את המנהרה, ואחר כך את פרופיל ה-VPN המיועד. השתמשו ב-UUID ולא בשמות, כי שם הוא תווית שאפשר לשכפל או לערוך, וה-UUID הוא מה שנתיב ההפעלה באמת פותר.

אל תבלבלו בין שם פרופיל לבין שם ממשק או כתובת שהמכונה מחזיקה כרגע. אלה שלושה מזהים שונים שבמקרה נראים דומים במסוף, וערבובם מייצר שינוי שאינו מכוון לשום דבר.

הוסיפו את ה-VPN לחיבור הבסיס

nmcli connection modify uuid "PRIMARY_UUID" +connection.secondaries "VPN_UUID"

הצורה עם סימן הפלוס מוסיפה לרשימה הקיימת; השמטתו מחליפה את הרשימה, וכך מסירה בשקט כל חיבור משני אחר שכבר הוגדר. בדקו תחילה את הערך הנוכחי ורשמו אותו לפני שאתם משנים משהו.

הגדרות החיבור של NetworkManager מתארות משניים כחיבורי VPN שמופעלים יחד עם חיבור הבסיס. האם פרופיל WireGuard מקורי הוא אותו סוג של אובייקט תלוי באופן שבו NetworkManager מנהל אותו, ולכן אותה פקודה עשויה להיות הכלי הלא נכון למנהרה שמופיעה כממשק ולא כתוסף VPN.

זהו שינוי במדיניות החיבור, לא מתג בזמן ריצה. החילו אותו דרך כל תהליך התחברות מחדש שהפריסה מאשרת, וצפו שההפעלה הראשונה לאחר השינוי תתנהג אחרת מהסשן שאתם יושבים בו כעת.

סודות אינם חלק מהשיוך

רשומה משנית אומרת «הפעל את זה עם זה». שום דבר בה לא מוסר סיסמה, לא פותח מחזיק מפתחות ולא עונה להנחיה. פרופיל שמאמת בהצלחה לאחר התחברות לשולחן העבודה עדיין עלול להיכשל כשהוא מופעל בהקשר שבו סוכן הסודות אינו זמין.

השתמשו בהסדר המערכת או בסוכן הסודות הנתמך עבור הפריסה בפועל. אחסון הסיסמה של כולם בסקריפט כדי שהמנהרה תוכל להתחיל ללא השגחה הופך תכנון אימות לקובץ ששורד את העסקתו של בעליו.

קראו את שני האירועים, ואז בדקו את המשאב

צפו בחיבור הבסיס ובהפעלת ה-VPN במהלך ניסיון אחד. היעדר אירוע VPN פירושו שהמפעיל מעולם לא הוגדר או שה-UUID שגוי. אירוע VPN שאחריו כשל אימות פירושו שהמפעיל פעל והבעיה שנותרה היא פרטי הזיהוי, וזה תיקון אחר.

לאחר ההפעלה, בקשו את המשאב שהוביל להגדרה במקום לסמוך על הסמל. לאחר מכן התנתקו בכוונה וצפו במה שקורה אחר כך, כי שיוך התחלה אוטומטית אינו מתג חירום ואינו מבטיח ניסיונות חוזרים ללא קץ. אם הדרישה היא «אין תעבורה בלי המנהרה», זו מדיניות נפרדת שזקוקה להגדרה משלה ולבדיקה משלה. ערבוב השניים הוא הדרך שבה מכונה מגיעה לחיבור חוזר בלולאה בזמן שהמשתמש מאמין שהיא מוגנת.