NetworkManager の VPN プロファイルを別のパソコンへ移す

二台のマシンがメニューに同じ VPN 名を表示していても、それ以外に共通点がないことがあります。設定ページは最も移動に不向きな部分です。プロファイルの実体は、キーファイル、キーリング、プラグイン、いくつかの絶対パスに分散しているからです。エクスポートすべきか、コピーすべきか、再登録すべきかは三つの問いで決まります。何かをコピーする前に、その問いを立ててください。

実際に動いているプロファイルから始める

接続を一覧し、名前ではなく UUID を読みます。nmcli connection show は両方を表示し、UUID だけが、動作している項目を同じラベルの古いインポートと区別するフィールドです。始める前に、元のマシンで古い重複の名前を変えるか削除して、コピーする対象を曖昧でなくします。次にプラグインと接続タイプを記録します。この二つがエクスポートの意味を決めるからです。正確に特定できないプロファイルは、移行すべきではないものです。

この手順には一分かかります。最もよくある失敗、つまり間違ったプロファイルを移動してから移動先をデバッグする事態を防ぎます。

エクスポートか、キーファイルのコピーか？

NetworkManager は、インストールされたプラグインがエクスポートを実装していれば一部の VPN プロファイルをファイルに書き出せます。また OpenVPN では結果が単独の設定に似ます。ネイティブのキーファイルをコピーするのがもう一つの道です。すべての設定を保ちますが、移動先に同じプラグインと許可された所有者を求めます。どちらが一概に良いわけでも、どちらかがバックアップというわけでもありません。何が同一であるべきかを問うて選びます。

エクスポートは、同じプラグインを動かすマシンへの移動に向きます。とくに、確認できる一つの成果物が欲しい場合に適します。キーファイルは、権限とパスを正確に再現できる同一のディストリビューションへの復元に向きます。

プロファイルがまだ指しているもの

きれいにエクスポートできたからといって、プロファイルが自己完結するわけではありません。CA、クライアント証明書、秘密鍵、追加の TLS 素材は通常、パスで参照される別々のファイルであり、そのパスは離れるマシンに存在します。何かを転送する前に、参照されているすべてのファイルを一覧してください。

次に、同じ資格情報をそもそも使うべきかを決めます。別のマシンにある同じ名前のファイルは同じ身元ではありません。新規登録を求める配備もあります。

シークレットはファイルの中にない

パスワードとパスフレーズは、キーファイルの中、ユーザーのキーリングの中、あるいはどこにもないことがあります。毎回ユーザーに尋ねるからです。ファイルのコピーと一緒に移動するのは最初の一つだけです。

移動に手間がかからないと決めつける前に、元のプロファイルのパスワードフラグを確認します。尋ねる設定、またはセッションエージェントにシークレットを保存する設定のプロファイルは、資格情報なしで新しいマシンに届き、理由を説明しないまま失敗する接続試行を伴います。移動を楽にするために平文パスワードをファイルへ書き出すのではなく、承認されたシークレットの手順をそこで再現してください。その近道は移行を開示に変えます。

古いコピーをきちんと引退させる

新しい構成を、意図したアプリケーションをそれ経由で使って受け入れ、それまでは古い経路を利用可能にしておきます。インポートし、エンドポイント、認証、ルート、DNS を読み返し、それから接続してプライベートリソースを確認します。緑のアイコンを出すインポートは受け入れではありません。

ローカルのプロファイルを削除しても何も失効しません。証明書と資格情報は、運用者が取り消すまで有効なままです。だから引退は、発行した相手への別個の依頼です。古いファイルを削除し、キーリングの項目を削除し、どの身元をいつ取り消したかを記録します。古いマシンを引き渡すなら、その記録は削除より重要です。