Jedan profil, dva vlasnika: NetworkManager ili systemd

Sa .ovpn datotekom se ništa ne dešava dok je nešto ne posjeduje. Na Pi radnoj površini vjerovatni vlasnici su NetworkManager, koji uvezenu vezu čuva u vlastitoj keyfile datoteci, i samostalna servisna jedinica koja čita konfiguraciju iz direktorija. To su dva modela rada s različitim skladištenjem, različitim postupanjem s akreditivima i različitim pravilima aktivacije. Svjesno izabrati jedan od njih jest cijeli zadatak; kopiranje datoteke na oba mjesta samo čini izbor slučajnim.

Oba mogu raditi na jednom računaru, ali ne na istom tunelu u istom trenutku, a sukob izgleda kao mrežna greška, a ne kao greška u konfiguraciji.

Dva načina da posjedujete isti tunel

Dodatak OpenVPN u NetworkManageru dodaje editor i servis koji upravljaju vezom umjesto vas, a instaliranje OpenVPN programa ne instalira tu integraciju. Samostalna jedinica je obrnut raspored: bez editora, bez integracije s radnom površinom, jedna konfiguracijska datoteka i ona prava koja jedinica dodijeli. Prva čuva stanje veze u vlastitoj bazi podataka, druga ga čuva gdje kažu profil i jedinica. Većina zabune dolazi iz pretpostavke da su uvezeni profil i kopirana datoteka isti objekt.

To nisu dva pogleda na jednu stvar. Uređivanje preuzete datoteke ne mijenja ni ono što je NetworkManager sačuvao ni ono što jedinica čita, a bilo koja od njih može biti ona koja je izgradila tunel koji ste upravo testirali.

Pratite vezu koju radna površina zaista koristi

Dokumentirana operacija uvoza, nmcli connection import type openvpn file office.ovpn, stvara vezu kroz dodatak. Zapišite njen UUID i taj identifikator koristite dalje, jer se nazivi uređuju i dvije veze mogu dijeliti istu oznaku. nmcli connection show navodi šta postoji, a čitanje vlastitih svojstava veze kaže vam iz koje datoteke dolazi i šta čuva. Ako UUID koji uređujete nije onaj koji radna površina aktivira, vaše izmjene su ukras.

Tajne žive u vlasnikovom skladištu. Izvlačenje svake sačuvane tajne da biste otkrili koji je profil aktivan sporo je i rizično; pitajte objekt veze umjesto toga i držite privatni materijal tamo gdje vlasnik očekuje.

Uvezenoj vezi nije potrebna grafička sesija da bi radila, ali joj može trebati izvor akreditiva. Hoće li se pokrenuti bez nadzora zavisi od njenih dozvola i tajni, a ne od prisustva radne površine.

Pročitajte predložak jedinice prije nego se na njega oslonite

Kada paket isporučuje klijentsku jedinicu u upstream stilu, instanca nazvana office odgovara datoteci %i.conf unutar konfiguriranog direktorija jedinice, koji je za predložak 2.6 /etc/openvpn/client. Pročitajte instaliranu jedinicu i sve dodatne datoteke prije nego povjerujete primjeru iz vodiča, jer distribucije premještaju putanje. Ručno pokretanje iz terminala ne dokazuje ništa o tome kako servis vidi datoteke, tajne ili dozvole. Ni dijalog za lozinku na radnoj površini nije dokaz da neinteraktivna jedinica ima odobren način da dobije istu lozinku.

Dajte jedinici samo ono što joj treba. Popuštanje cijelog servisnog sandboxa zato što jedna referencirana datoteka nije čitljiva mijenja malu ispravku dozvole za veliku izloženost, a greška obično imenuje datoteku kojoj treba pažnja.

Povucite duplikat bez gubljenja pristupa

Ako oba vlasnika mogu pokrenuti tunel, jedan na kraju pobijedi u pogrešnom trenutku i rute i uređaj gubitnika ostanu za sobom. Uklonite slučajni duplikat kroz njegovog vlastitog vlasnika, držite put oporavka otvorenim i potvrdite da se preostali vlasnik još povezuje nakon ponovnog pokretanja. Dva svjesno odvojena VPN-a s različitim politikama rutiranja su drugo projektno pitanje, a ne dozvola da se dvije putanje pokretanja takmiče oko jedne veze.

Zatim zapišite životni ciklus koji ste prihvatili: ručna aktivacija, prijava ili podizanje i ponovno povezivanje. Provjerite sačuvanu krajnju točku, autentifikaciju druge strane i resurs koji tunel treba dosegnuti, jer reinstalacija radne površine ne zamjenjuje znanje o tome koja je konfiguracija radila.