Spostare un profilo VPN di NetworkManager su un altro computer

Due macchine possono mostrare lo stesso nome VPN nel menu e non avere nient'altro in comune. La pagina delle impostazioni è la parte che viaggia peggio, perché il contenuto reale del profilo è distribuito tra un file delle chiavi, un portachiavi, un plugin e una manciata di percorsi di file assoluti. Tre domande decidono se dovete esportare, copiare o registrarvi di nuovo. Ponetele prima di copiare qualsiasi cosa.

Partite dal profilo che funziona davvero

Elencate le connessioni e leggete l'UUID invece del nome. nmcli connection show stampa entrambi, e l'UUID è l'unico campo che distingue la voce funzionante da un'importazione più vecchia con un'etichetta identica. Rinominate o eliminate il duplicato obsoleto sulla macchina di origine prima di iniziare, così ciò che copiate non sia ambiguo. Poi annotate il plugin e il tipo di connessione, perché questi due determinano cosa significhi esportare. Un profilo che non riuscite a identificare con precisione è uno che non dovreste migrare.

Questo passaggio costa un minuto. Evita il guasto più comune, cioè spostare il profilo sbagliato e poi eseguire il debug della destinazione.

Esportare o copiare il file delle chiavi?

NetworkManager può esportare alcuni profili VPN in un file quando il plugin installato implementa l'esportazione, e per OpenVPN il risultato somiglia a una configurazione autonoma. Copiare il file delle chiavi nativo è l'altra via: conserva ogni impostazione, ma richiede lo stesso plugin e un proprietario consentito sulla destinazione. Nessuna delle due è universalmente migliore, e nessuna è un backup. Scegliete chiedendovi cosa deve restare identico.

L'esportazione si adatta a un trasferimento su una macchina che eseguirà lo stesso plugin, soprattutto quando volete un singolo artefatto che possiate ispezionare. Il file delle chiavi si adatta a un ripristino su una distribuzione identica dove i permessi e i percorsi possono essere riprodotti esattamente.

A cosa punta ancora il profilo

Un profilo non è autosufficiente solo perché è stato esportato in modo pulito. La CA, il certificato client, la chiave privata e qualsiasi materiale TLS aggiuntivo sono di solito file separati a cui si fa riferimento tramite percorso, e quei percorsi esistono sulla macchina che state lasciando. Elencate ogni file referenziato prima di trasferire qualsiasi cosa.

Poi decidete se la stessa credenziale debba essere usata del tutto. Un file con lo stesso nome su un'altra macchina non è la stessa identità, e alcune distribuzioni si aspettano invece una nuova registrazione.

I segreti non sono nel file

Le password e le passphrase possono vivere nel file delle chiavi, in un portachiavi utente o da nessuna parte perché all'utente viene chiesto ogni volta. Solo la prima di queste viaggia con una copia del file.

Controllate i flag della password sul profilo di origine prima di presumere che lo spostamento non richieda attenzione. Un profilo configurato per chiedere, o per memorizzare il segreto presso un agente di sessione, arriva sulla nuova macchina senza credenziale e con un tentativo di connessione che fallisce senza spiegare perché. Riproducete lì il flusso di segreti approvato invece di esportare una password in chiaro in un file per facilitare lo spostamento. Quella scorciatoia trasforma una migrazione in una divulgazione.

Ritirate correttamente la vecchia copia

Accettate la nuova configurazione usando l'applicazione prevista attraverso di essa, e tenete disponibile il vecchio percorso fino ad allora. Importate, rileggete l'endpoint, l'autenticazione, le route e il DNS, poi connettetevi e confermate la risorsa privata. Un'importazione che produce un'icona verde non è un'accettazione.

Eliminare un profilo locale non revoca nulla. Il certificato e le credenziali restano validi finché l'operatore non li ritira, quindi la dismissione è una richiesta separata a chi li ha emessi. Rimuovete i vecchi file, rimuovete la voce del portachiavi e annotate quale identità è stata ritirata e quando. Se la vecchia macchina viene ceduta, quella registrazione conta più dell'eliminazione.