Satu profil, dua pemilik: NetworkManager atau systemd

Tidak ada yang terjadi pada berkas .ovpn sampai ada yang memilikinya. Di desktop Pi, pemilik yang mungkin adalah NetworkManager, yang menyimpan koneksi hasil impor di keyfile miliknya sendiri, dan unit layanan mandiri yang membaca konfigurasi dari sebuah direktori. Keduanya adalah dua model operasi dengan penyimpanan berbeda, penanganan kredensial berbeda, dan aturan aktivasi berbeda. Memilih salah satunya dengan sengaja adalah keseluruhan tugasnya; menyalin berkas ke kedua tempat hanya membuat pilihan itu menjadi kebetulan.

Keduanya bisa berjalan di satu mesin, tetapi tidak pada tunnel yang sama pada saat yang sama, dan konfliknya tampak seperti gangguan jaringan, bukan gangguan konfigurasi.

Dua cara memiliki tunnel yang sama

Plugin OpenVPN pada NetworkManager menambahkan editor dan layanan yang mengelola koneksi untuk Anda, dan memasang program OpenVPN tidak memasang integrasi itu. Unit mandiri adalah susunan sebaliknya: tanpa editor, tanpa integrasi desktop, satu berkas konfigurasi dan hak istimewa yang diberikan unit. Yang pertama menyimpan status koneksi di basis datanya sendiri, yang kedua menyimpannya di tempat yang dikatakan profil dan unit. Sebagian besar kebingungan berasal dari anggapan bahwa profil hasil impor dan berkas hasil salin adalah objek yang sama.

Keduanya bukan dua tampilan dari satu hal. Menyunting berkas yang diunduh tidak mengubah apa yang disimpan NetworkManager maupun apa yang dibaca unit, dan salah satunya bisa jadi yang membangun tunnel yang baru Anda uji.

Ikuti koneksi yang benar-benar dipakai desktop

Operasi impor yang didokumentasikan, nmcli connection import type openvpn file office.ovpn, membuat koneksi melalui plugin. Catat UUID-nya dan gunakan pengenal itu setelahnya, karena nama bisa disunting dan dua koneksi dapat berbagi satu label. nmcli connection show mencantumkan apa yang ada, dan membaca properti koneksi itu sendiri memberi tahu dari berkas mana ia berasal dan apa yang disimpannya. Jika UUID yang Anda sunting bukan yang diaktifkan desktop, suntingan Anda hanya hiasan.

Rahasia hidup di penyimpanan pemiliknya. Menumpahkan setiap rahasia tersimpan untuk mengetahui profil mana yang aktif itu lambat dan berisiko; tanyakan objek koneksi sebagai gantinya, dan simpan materi pribadi di tempat yang diharapkan pemiliknya.

Koneksi hasil impor tidak memerlukan sesi grafis untuk berjalan, tetapi mungkin masih memerlukan sumber kredensial. Apakah ia mulai tanpa pengawasan bergantung pada izin dan rahasianya, bukan pada kehadiran desktop.

Baca templat unit sebelum mengandalkannya

Jika paket menyediakan unit klien bergaya upstream, instans bernama office memetakan ke %i.conf di dalam direktori unit yang dikonfigurasi, yang untuk templat 2.6 adalah /etc/openvpn/client. Baca unit terpasang dan berkas tambahan apa pun sebelum memercayai contoh dari panduan, karena distribusi memindahkan jalur. Peluncuran manual dari terminal tidak membuktikan apa pun tentang cara layanan memandang berkas, rahasia, atau izin. Kotak dialog kata sandi desktop juga bukan bukti bahwa unit noninteraktif punya cara yang disetujui untuk memperoleh kata sandi yang sama.

Beri unit hanya apa yang ia butuhkan. Melonggarkan seluruh sandbox layanan karena satu berkas yang dirujuk tidak terbaca menukar perbaikan izin kecil dengan paparan besar, dan galatnya biasanya menyebut berkas yang perlu diperhatikan.

Pensiunkan duplikat tanpa kehilangan akses

Jika kedua pemilik dapat memulai tunnel, salah satunya akhirnya menang pada saat yang salah dan rute serta perangkat pihak yang kalah tertinggal. Hapus duplikat yang tidak disengaja melalui pemiliknya sendiri, biarkan jalur pemulihan tetap terbuka, dan pastikan pemilik yang tersisa masih terhubung setelah reboot. Dua VPN yang sengaja dipisahkan dengan kebijakan perutean berbeda adalah pertanyaan desain lain, bukan izin bagi dua jalur peluncuran untuk bersaing atas satu koneksi.

Lalu tuliskan siklus hidup yang Anda terima: aktivasi manual, login, atau boot dan sambung ulang. Periksa endpoint tersimpan, autentikasi pihak lain, dan sumber daya yang hendak dicapai tunnel, karena memasang ulang desktop tidak menggantikan pengetahuan tentang konfigurasi mana yang berjalan.