Perché l’editor VPN non salva un nuovo profilo

Il pulsante Salva resta grigio mentre ogni campo sembra compilato, e il gateway non ha ancora visto un solo pacchetto. Nulla è stato rifiutato, perché nulla è stato inviato. Il controllo riflette ciò che l’editor locale può verificare del profilo che ha davanti. È una domanda più ristretta di quella se l’account funzioni, e si risponde senza la rete.

Il pulsante riflette la convalida locale

Un controllo disattivato ha più di una causa locale, e dall’esterno sembrano tutte identiche. Può mancare un riferimento obbligatorio, un file referenziato può essere illeggibile per l’utente che esegue l’editor, oppure il plugin che gestirebbe il metodo scelto può non essere affatto installato. I problemi di permessi sul profilo stesso producono lo stesso pulsante grigio di un campo vuoto.

Leggete il messaggio di convalida prima di modificare qualsiasi cosa, perché il messaggio nomina il campo che l’editor contesta. Indovinare il modulo è più lento che leggere l’unica frase che l’editor ha già scritto.

Allineare i campi al metodo scelto

Gli input richiesti derivano dal metodo di connessione, non dalla disposizione della finestra. Un’identità a certificato richiede un certificato client e l’accesso alla relativa chiave privata, e necessita comunque di un modo per verificare il server. Un metodo basato su account ha requisiti diversi e richiede anch’esso la verifica del server. Alcuni deployment esigono entrambi insieme, ed è per questo che un modulo che sembra ridondante è spesso corretto.

Usate il profilo supportato e le istruzioni di registrazione dell’operatore invece di comporre i campi a intuito. Mettere un certificato client nel campo CA, trattare un certificato pubblico come chiave privata o digitare la password di un account in una casella per la passphrase della chiave privata sono errori comuni e producono tutti lo stesso silenzioso rifiuto di salvare.

Verificate ogni riferimento come l’oggetto che dovrebbe essere. Un nome di file con il suffisso giusto non prova nulla sulla leggibilità, sulla proprietà o sull’appartenenza a questa identità. Una chiave privata leggibile solo da root non si carica in una sessione desktop, e l’editor lo segnala come errore di convalida anziché come errore di permessi.

Cambiare metodo solo per rendere cliccabile il pulsante cambia il significato del profilo. Digitare password inutili e poi tornare indietro può lasciare valori salvati che nessuno voleva. Nasconde anche il requisito che mancava davvero, che ritorna come errore di connessione un’ora dopo.

Separare i segreti salvati dai segreti dell’agente

Alcune informazioni appartengono al profilo salvato e un’altra credenziale può essere fornita in modo interattivo all’attivazione. L’API di connessione di NetworkManager tiene distinte la verifica della connessione, la verifica dei segreti e la scoperta dei segreti, e la sua stessa documentazione avverte che gli indizi non sempre possono determinare tutto ciò che serve a una connessione.

Questa distinzione spiega un campo password vuoto. Può essere corretto perché un agente dei segreti fornirà il valore, e può essere sbagliato perché questa connessione non ha alcun agente disponibile. I flag associati a un segreto decidono se appartiene al sistema, all’agente o non viene salvato affatto.

Scegliete il flag che corrisponde al ciclo di vita. Un portachiavi desktop sbloccato dopo l’accesso non è disponibile per un servizio che parte prima del login, perciò un profilo che funziona in modo interattivo può fallire all’avvio senza alcuna modifica al profilo. Quel fallimento sembra un profilo rotto ed è in realtà un disallineamento di pianificazione.

Un salvataggio riuscito non è nemmeno prova che l’agente previsto risponderà al prossimo prompt. Mantenete la proprietà dell’account e della chiave privata invece di copiare ogni segreto in un file leggibile dal sistema per far tacere la finestra.

Leggere le fasi successive separatamente

Una volta salvato il profilo, ispezionate identificatore, endpoint, plugin e metodo senza chiedere valori segreti. Un’importazione fornita dall’operatore può aiutare, ma l’importazione è un parser a sé con le proprie funzionalità supportate, quindi un’importazione rifiutata non è lo stesso errore di un salvataggio rifiutato.

Solo allora attivate tramite il gestore previsto e l’account che si aspetta. Un errore di identità del server, un account rifiutato, una rotta mancante e un permesso applicativo negato appartengono tutti a fasi successive, e segnalarli come problema dell’editor manda l’indagine nel posto sbagliato.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Corp VPN" | grep -E "vpn\.|802-1x"

Se Salva resta disattivato con gli input documentati, registrate la versione dell’editor, la versione del plugin, il metodo selezionato e l’errore locale esatto. Un rapporto che nomina il profilo valido che l’editor non riesce a rappresentare è utile; una sequenza di credenziali casuali che ha reso cliccabile il pulsante per un attimo non lo è.