NM OpenVPN: profil tersimpan bukan file .ovpn Anda

File .ovpn yang sama terhubung dari shell dan kehabisan waktu setelah diimpor ke NetworkManager. Kesimpulan alaminya adalah VPN-nya rusak. Penjelasan yang lebih mungkin lebih kecil: NetworkManager tidak menyimpan file itu, ia mengimpor sebagiannya ke koneksi tersimpan, dan tunnel yang berjalan justru memakai data tersimpan itu. Apa pun yang dikatakan file sekarang tidak relevan dengan apa yang dimuat profil.

File bukan profil

Impor adalah terjemahan, bukan pemasangan. Opsi yang dipahami plugin menjadi kunci dalam vpn.data kamus koneksi; opsi yang tidak dipahaminya dibuang atau dicatat di tempat lain, dan jalur asli hanyalah referensi. Menyunting file sumber sesudahnya tidak mengubah apa pun pada koneksi yang sudah tersimpan.

Celah itu menjelaskan satu keluarga laporan: kunci bersama dirotasi, file diperbarui, dan tunnel tetap gagal. Profil tersimpan masih menunjuk ke jalur lama atau nilai lama, dan baris perintah tetap berfungsi karena membaca file yang Anda sunting. Dua klien, dua sumber kebenaran, dan hanya satu yang diperbarui.

Baca profil tersimpan, bukan dialog

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Gunakan UUID bila dua profil berbagi nama, dan pastikan jenis layanannya adalah OpenVPN plugin yang Anda harapkan, bukan jenis VPN lain yang kebetulan terpasang. Lalu bandingkan endpoint, transport, dan referensi sertifikat dengan pemanggilan yang berfungsi.

Nilai yang terlihat di editor grafis bukan bukti bahwa nilai itu tersimpan. Simpan, buka kembali, dan bacalah lagi lewat baris perintah; cacat penyimpanan historis adalah alasan untuk memeriksa data tersimpan, bukan bukti bahwa setiap build saat ini punya bug yang sama. Pemeriksaannya hanya butuh satu perintah.

Dua kunci, dan arah yang penting

Untuk koneksi yang memakai autentikasi TLS, plugin menyimpan jalur kunci bersama di ta dan arahnya di ta-dir, bila penerapannya memakai arah. Keduanya berada di kamus data profil, dan keduanya harus cocok dengan yang diharapkan server.

Arah adalah keputusan sisi server yang dinyatakan pada klien. Memilih satu karena profil tetangga memilikinya adalah cara kunci yang berfungsi mulai gagal dalam jabat tangan. Jika konfigurasi server tidak berarah, klien tidak boleh mengarang arah.

File kunci itu sendiri harus dapat dibaca plugin dalam konteks tempat ia benar-benar berjalan. Paket terbatas punya pandangan sistem file yang berbeda dari pemasangan desktop biasa, jadi jalur yang ada di shell Anda bisa tak terlihat oleh layanan.

Perbarui satu entri, bukan kamus

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Tanda plus di awal memperbarui entri kamus satu per satu. Menetapkan vpn.data tanpa tanda itu mengganti seluruh kamus, dan begitulah satu kunci yang hilang berubah menjadi lima pengaturan rusak. Baca kembali profil setelah perubahan dan pastikan entri lain selamat. Kamus yang kehilangan endpoint jauh dan sertifikatnya adalah sore yang jauh lebih panjang daripada yang Anda mulai.

Hubungkan ulang lewat kontrol biasa dan amati tahap yang gagal. Jika gerbang kunci bersama kini lolos dan klien melaporkan kesalahan sertifikat atau autentikasi pengguna, Anda sudah maju dan penyelidikan berikutnya berbeda.

Jangan mencampur mode kanal kendali

tls-auth, tls-crypt, dan tls-crypt-v2 adalah susunan yang berbeda. File kunci yang tampak serupa tidak membuatnya bisa saling ditukar, dan mengisi bidang TLS-Auth karena profil lain memuat kunci terformat menghasilkan profil yang gagal dengan cara menyerupai kunci yang salah.

Gunakan pemetaan plugin yang cocok dengan mode dalam konfigurasi server. Bila modenya tidak jelas, tanyakan kepada pemilik server alih-alih menebak dari baris pertama file.

Pertahankan jalur pemulihan saat tunnel membawa sesi manajemen Anda. Perubahan tersimpan belum tentu perubahan yang diterapkan, dan impor yang berhasil bukan bukti bahwa setiap opsi sumber didukung. Kedua celah itu layak diketahui sebelum Anda menyambung ulang tautan yang sedang Anda pakai.