CLI が受け付ける .ovpn を設定画面が読み込まない

同じファイルがシェルからは接続できるのに、デスクトップパネルではインポートを拒否します。これはサーバー、認証情報、プロファイルの構文を除外します。コマンドラインクライアントがすでに三つとも解釈しているからです。残るのはデスクトップ側の経路そのものです。必要なパッケージ、理解するディレクティブの範囲、ディスクに書き込むオブジェクトです。それぞれ失敗の仕方が違い、メッセージが正しい原因を指すことはほとんどありません。

ダイアログが解析前に必要とする三つの条件

インポートはユーザーの権限で実行されるため、root だけがアクセスできるディレクトリのファイルは内容が問題になる前に拒否されます。パネルには NetworkManager プラグインがインストールされている VPN 種別しか表示されません。OpenVPN プラグインがなければ、その選択肢は壊れているのではなく存在しません。最後に、ネットワークデバイスが管理対象である必要があります。管理対象外とされたインターフェースは、決して有効にならない保存済み接続を受け入れられます。プロファイルを編集する前に、この三つを確認してください。

最初の切り分けは、プラグイン用の dpkg -l network-manager-openvpn-gnome とデバイス状態用の nmcli device status という二つのコマンドで済みます。

インポーターが黙って捨てるもの

デスクトップ向けの変換は決まったプロパティ集合を対象にします。その集合の外にある行は黙って破棄されるため、意図した構成の一部が欠けたままトンネルが上がることがあります。up、down、script-security で宣言されたスクリプトは通常消え、管理インターフェースのオプションや追加のリモートブロックも同様です。vpn_gateway キーワードで書かれたルートは例外で、インポーターはそこにリテラルの IPv4 ゲートウェイを求めて、行を捨てる代わりにエラーで中断します。

捨てられたルートには見分けのつく形があります。接続は有効になり、インターフェースはアドレスを取得し、特定のサブネットだけが到達不能になります。ルートがプロファイルに入らなかったからです。

元ファイルではなく、保存された接続を読む

インポートの正式な結果はキーファイルであり、選択した .ovpn ではありません。sudo cat /etc/NetworkManager/system-connections/office.nmconnection がパネルの実際の保存内容を示します。ルートがそこにありながら有効なテーブルにないなら、インポートは成功しており、問題は有効化です。ファイルにないなら、インポーターが捨てたのであり、何度再接続しても戻りません。

別の経路が二つあり、変換層を避けられます。nmcli connection import type openvpn file ./office.ovpn は同じオブジェクトを書き込み、パネルが隠すエラーを報告します。

古いエディターは nm-connection-editor で起動すると、パネルにはないルート項目を表示します。スクリプトや未対応のディレクティブに依存するプロファイルでは、コマンドラインクライアントを残し、代わりにサービスで監視してください。デスクトップの接続を無効にして、トンネルの所有者を一つの構成要素だけにします。

インポートは成功するのに有効化できない場合

詳細タブは、インポートされた、または最後に選択されたトランスポートを保持します。UDP で待ち受けるサーバーは TCP を選ぶとすぐ失敗し、そのメッセージがそう述べることはほとんどありません。ログインユーザーなしで開始する必要がある接続では、シークレットを全ユーザー向けに保存する必要があり、これはこのセッションだけに保存するのとは別の設定です。

ダイアログに有用な情報がない場合は、journalctl -u NetworkManager -b が有効化の失敗理由を示します。シェルクライアントはその経路に一切触れないため、デスクトップ側が動かない間も動作し続けます。

最後の確認として、プラグインのバージョンをディストリビューションのリリースと比較してください。一致しないプラグインはきれいにインストールできても、nmcli が問題なくインポートするプロファイルの有効化を拒否することがあります。