NM OpenVPN: 저장된 프로필은 당신의 .ovpn 파일이 아닙니다

같은 .ovpn 파일이 셸에서는 연결되지만 NetworkManager로 가져온 뒤에는 시간 초과가 됩니다. 자연스러운 결론은 VPN이 고장났다는 것이며, 더 가능성 높은 설명은 더 작습니다. NetworkManager가 파일을 보관하지 않고 일부를 저장된 연결로 가져왔으며, 실행 중인 터널은 대신 그 저장된 데이터를 사용합니다. 파일이 지금 무엇을 말하든 프로필이 담고 있는 것과는 무관합니다.

파일은 프로필이 아니다

가져오기는 번역이지 마운트가 아닙니다. 플러그인이 이해하는 옵션은 연결의 vpn.data 사전에서 키가 됩니다; 이해하지 못하는 옵션은 버려지거나 다른 곳에 기록됩니다, 그리고 원래 경로는 참조일 뿐입니다. 나중에 원본 파일을 편집해도 이미 저장된 연결은 아무것도 바뀌지 않습니다.

이 간극이 한 무리의 보고를 설명합니다: 공유 키를 교체하고 파일을 업데이트해도 터널은 여전히 실패합니다. 저장된 프로필은 여전히 예전 경로나 예전 값을 가리키고, 명령줄은 편집한 파일을 읽기 때문에 계속 작동합니다. 두 클라이언트, 두 진실의 원천, 그리고 그중 하나만 업데이트되었습니다.

저장된 프로필을 읽으십시오, 대화상자가 아니라

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

두 프로필이 이름을 공유할 때 UUID를 사용하고, 서비스 유형이 기대하는 OpenVPN 플러그인인지, 우연히 설치된 다른 VPN 유형이 아닌지 확인하십시오. 그런 다음 엔드포인트, 전송, 인증서 참조를 작동하는 호출과 비교하십시오.

그래픽 편집기에 보이는 값은 저장되었다는 증거가 아닙니다. 저장하고 다시 열고 명령줄로 다시 읽으십시오; 과거의 저장 결함은 저장된 데이터를 확인할 이유이지 모든 현재 빌드에 같은 버그가 있다는 증거가 아닙니다. 확인에는 명령 하나면 충분합니다.

두 개의 키, 그리고 중요한 하나의 방향

TLS 인증을 사용하는 연결에서 플러그인은 공유 키의 경로를 ta 에 저장하고 방향은 ta-dir 에 저장합니다, 배포가 방향을 사용할 때. 둘 다 프로필의 데이터 사전에 있으며, 둘 다 서버가 기대하는 것과 일치해야 합니다.

방향은 클라이언트에서 표현되는 서버 측 결정입니다. 이웃 프로필에 있다는 이유로 하나를 선택하는 것이 작동하던 키가 핸드셰이크에서 실패하기 시작하는 길입니다. 서버 구성에 방향이 없다면 클라이언트가 방향을 지어내서는 안 됩니다.

키 파일 자체는 플러그인이 실제로 실행되는 컨텍스트에서 읽을 수 있어야 합니다. 제한된 패키지는 일반 데스크톱 설치와 파일 시스템 보기가 달라서, 셸에 존재하는 경로가 서비스에는 보이지 않을 수 있습니다.

항목 하나를 업데이트하십시오, 사전이 아니라

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

앞의 더하기는 개별 사전 항목을 업데이트합니다. 다음으로 vpn.data 를 더하기 없이 할당하면 전체 사전이 교체되며, 이렇게 해서 빠진 키 하나가 다섯 개의 깨진 설정이 됩니다. 변경 후 프로필을 다시 읽고 다른 항목이 살아남았는지 확인하십시오. 원격 엔드포인트와 인증서를 잃은 사전은 시작했던 오후보다 훨씬 긴 오후입니다.

일반 컨트롤을 통해 다시 연결하고 실패하는 단계를 지켜보십시오. 공유 키 게이트가 이제 통과하고 클라이언트가 인증서나 사용자 인증 오류를 보고하면, 앞으로 나아간 것이며 다음 조사는 다른 것입니다.

제어 채널 모드를 혼동하지 마십시오

tls-auth, tls-crypt, 그리고 tls-crypt-v2 는 서로 다른 구성입니다. 비슷해 보이는 키 파일이 서로 교환 가능하게 만들지 않으며, 다른 프로필에 형식화된 키가 있다고 TLS-Auth 필드를 채우면 잘못된 키와 비슷한 방식으로 실패하는 프로필이 생깁니다.

서버 구성의 모드와 일치하는 플러그인 매핑을 사용하십시오. 모드가 불분명하면 파일의 첫 줄에서 추측하지 말고 서버 소유자에게 물으십시오.

터널이 관리 세션을 나를 때는 복구 경로를 유지하십시오. 저장된 변경이 반드시 적용된 변경은 아니며, 성공적인 가져오기가 모든 원본 옵션이 지원되었다는 증거도 아닙니다. 두 간극 모두 작업 중인 링크를 다시 연결하기 전에 알아 둘 가치가 있습니다.