Il Wi-Fi si connette da solo; la VPN ha bisogno di un’associazione secondaria

Il portatile si unisce al Wi-Fi prima che ti sieda, e la VPN aspetta ancora un clic. Impostare la connessione automatica sul profilo VPN non cambia nulla, perché quell’interruttore governa l’attivazione del profilo stesso e NetworkManager tratta la VPN come un compagno di una connessione base. Il meccanismo documentato è la lista secondaria della connessione base, ed è un’altra proprietà in un altro posto.

La connessione automatica non è l’interruttore della VPN

Un profilo Wi-Fi o Ethernet può attivarsi da solo perché possiede un dispositivo. Un profilo di plugin VPN non possiede un dispositivo nello stesso senso; viene avviato accanto a una connessione che ne possiede uno. Per questo il flag di connessione automatica sulla VPN sembra giusto, si salva correttamente e non produce alcun tunnel. Il flag risponde a una domanda sul profilo, non sulla rete di cui ha bisogno.

Leggere il modello così spiega anche la modalità di guasto. La base si connette, nulla chiede alla VPN di partire, e il desktop mostra una VPN disconnessa accanto a una rete connessa. Nulla è rotto; l’associazione non è mai stata creata.

Identifica entrambi i profili tramite UUID

nmcli -f NAME,UUID,TYPE connection show

Scegli il profilo Wi-Fi o Ethernet che dovrebbe innescare il tunnel, poi il profilo VPN previsto. Usa gli UUID invece dei nomi, perché un nome è un’etichetta che può essere duplicata o modificata, e l’UUID è ciò che il percorso di attivazione risolve davvero.

Non confondere il nome di un profilo con il nome di un’interfaccia o con un indirizzo che la macchina ha in questo momento. Sono tre identificatori diversi che per caso si somigliano in un terminale, e mescolarli produce una modifica che non punta a nulla.

Aggiungi la VPN alla connessione base

nmcli connection modify uuid "PRIMARY_UUID" +connection.secondaries "VPN_UUID"

La forma con il più aggiunge alla lista esistente; ometterla sostituisce la lista, il che rimuove silenziosamente ogni altra connessione secondaria già configurata. Ispeziona prima il valore attuale e annotalo prima di cambiare qualcosa.

Le impostazioni di connessione di NetworkManager descrivono le secondarie come connessioni VPN avviate insieme alla connessione base. Se un profilo WireGuard nativo sia lo stesso tipo di oggetto dipende da come NetworkManager lo gestisce, quindi lo stesso comando può essere lo strumento sbagliato per un tunnel che appare come interfaccia invece che come plugin VPN.

Questo è un cambio di politica di connessione, non un interruttore a runtime. Applicalo tramite qualunque processo di riconnessione approvi il deployment, e aspettati che la prima attivazione dopo la modifica si comporti diversamente dalla sessione in cui sei seduto ora.

I segreti non fanno parte dell’associazione

Una voce secondaria dice «avvia questo con quello». Nulla al suo interno consegna una password, sblocca un portachiavi o risponde a un prompt. Un profilo che si autentica senza problemi dopo un accesso al desktop può comunque fallire quando viene attivato in un contesto in cui l’agente dei segreti non è disponibile.

Usa la disposizione di sistema o dell’agente dei segreti supportata per il deployment reale. Memorizzare la password di tutti in uno script perché il tunnel possa partire senza sorveglianza trasforma un progetto di autenticazione in un file che sopravvive al rapporto di lavoro del suo proprietario.

Leggi entrambi gli eventi, poi controlla la risorsa

Osserva la connessione base e l’attivazione della VPN durante un tentativo. Un evento VPN mancante significa che il trigger non è mai stato configurato o che l’UUID è sbagliato. Un evento VPN seguito da un errore di autenticazione significa che il trigger è partito e il problema rimasto sono le credenziali, che è una correzione diversa.

Dopo l’attivazione, richiedi la risorsa che ha motivato la configurazione invece di fidarti dell’icona. Poi disconnetti di proposito e osserva cosa succede dopo, perché un’associazione di avvio automatico non è un interruttore di sicurezza e non promette tentativi infiniti. Se il requisito è «nessun traffico senza il tunnel», quella è una politica separata che richiede la propria configurazione e il proprio test. Confondere le due è il modo in cui una macchina finisce per riconnettersi in loop mentre l’utente crede di essere protetto.