Un profilo, due proprietari: NetworkManager o systemd

Non succede nulla a un file .ovpn finché qualcosa non lo possiede. Su una scrivania Pi i proprietari plausibili sono NetworkManager, che archivia una connessione importata nel proprio file di chiavi, e un'unità di servizio autonoma che legge una configurazione da una cartella. Sono due modelli operativi con archiviazione diversa, gestione diversa delle credenziali e regole di attivazione diverse. Sceglierne uno deliberatamente è tutto il compito; copiare il file in entrambi i posti rende la scelta solo accidentale.

Entrambi possono funzionare su una macchina, ma non sullo stesso tunnel nello stesso momento, e il conflitto sembra un guasto di rete e non di configurazione.

Due modi per possedere lo stesso tunnel

Il plug-in OpenVPN di NetworkManager aggiunge un editor e un servizio che gestiscono la connessione per voi, e installare il programma OpenVPN non installa questa integrazione. Un'unità autonoma è la disposizione inversa: nessun editor, nessuna integrazione con la scrivania, un solo file di configurazione e i privilegi che l'unità concede. La prima tiene lo stato della connessione nel proprio database, la seconda lo tiene dove dicono il profilo e l'unità. La maggior parte della confusione nasce dal supporre che un profilo importato e un file copiato siano lo stesso oggetto.

Non sono due viste di una stessa cosa. Modificare il file scaricato non cambia né ciò che NetworkManager ha salvato né ciò che legge l'unità, e l'uno o l'altro può essere quello che ha costruito il tunnel appena provato.

Seguite la connessione che la scrivania usa davvero

L'operazione di importazione documentata, nmcli connection import type openvpn file office.ovpn, crea una connessione tramite il plug-in. Annotate il suo UUID e usate quell'identificatore in seguito, perché i nomi vengono modificati e due connessioni possono condividere un'etichetta. nmcli connection show elenca ciò che esiste, e leggere le proprietà della connessione stessa vi dice da quale file proviene e cosa archivia. Se l'UUID che state modificando non è quello che la scrivania attiva, le vostre modifiche sono decorazione.

I segreti vivono nell'archivio del proprietario. Riversare ogni segreto salvato per capire quale profilo è attivo è lento e rischioso; interrogate invece l'oggetto connessione e tenete il materiale privato dove il proprietario se lo aspetta.

Una connessione importata non ha bisogno di una sessione grafica per funzionare, ma può ancora aver bisogno di una fonte di credenziali. Che parta senza sorveglianza dipende dai suoi permessi e dai suoi segreti, non dalla presenza della scrivania.

Leggete il modello dell'unità prima di contarci

Dove il pacchetto fornisce l'unità client in stile upstream, un'istanza chiamata office corrisponde a %i.conf nella cartella configurata dell'unità, che per il modello 2.6 è /etc/openvpn/client. Leggete l'unità installata e ogni file aggiuntivo prima di fidarvi di un esempio preso da una guida, perché le distribuzioni spostano i percorsi. Un avvio manuale da terminale non dimostra nulla su come il servizio vede file, segreti o permessi. Anche la finestra della password della scrivania non è prova che un'unità non interattiva abbia un modo approvato di ottenere la stessa password.

Date all'unità solo ciò di cui ha bisogno. Allentare tutta la sandbox del servizio perché un file referenziato non è leggibile scambia una piccola correzione di permessi con una grande esposizione, e l'errore di solito nomina il file che richiede attenzione.

Ritirate il duplicato senza perdere l'accesso

Se entrambi i proprietari possono avviare il tunnel, uno alla fine vince nel momento sbagliato e le rotte e il dispositivo dello sconfitto restano indietro. Rimuovete il duplicato accidentale tramite il suo stesso proprietario, lasciate aperto un percorso di ripristino e confermate che il proprietario rimasto si colleghi ancora dopo un riavvio. Due VPN deliberatamente separate con politiche di routing diverse sono un'altra questione di progetto, non un permesso perché due percorsi di avvio competano per una connessione.

Poi annotate il ciclo di vita che avete accettato: attivazione manuale, accesso, oppure avvio e riconnessione. Controllate l'endpoint salvato, l'autenticazione della controparte e la risorsa che il tunnel deve raggiungere, perché reinstallare la scrivania non sostituisce il sapere quale configurazione ha girato.