Keyfile ar Netplan: kur iš tikrųjų saugomas VPN profilis?

Rasti importuotą failą yra lengvoji dalis ir dažnai neteisinga pradžia. Svarbu tai, kurį failą NetworkManager šiandien skaito kaip išsaugotą ryšį, o tai priklauso nuo ryšio identifikatoriaus ir konfigūracijos backend’o, kurį įdiegti paketai iš tikrųjų naudoja. Importo redagavimas prieš atsakant į šį klausimą yra kelias, kuriuo veikiantis VPN tampa dviem pusiau teisingomis konfigūracijomis.

Importuotas failas nėra išsaugotas profilis

Aplink kiekvieną VPN problemą sukasi trys vardai: ryšio pavadinimas, importuoto failo pavadinimas ir virtualioji sąsaja, kuri atsiranda, kai tunelis pakyla. Nė vienas jų neatpažįsta išsaugotos konfigūracijos, o ryšio pavadinimą galima redaguoti, kol už jo esantis failas išsaugo savo pirminį identifikatorių.

Pradėkite nuo tik skaitymo inventorizacijos ir pasirinkite norimą VPN pagal identifikatorių, o ne etiketę:

nmcli -f NAME,UUID,TYPE connection show

Laikykite galinių taškų hostų vardus ir tapatybės etiketes už bet kokios inventorizacijos, kurią įklijuojate į bilietą. Naudingoji dalis yra tipas ir identifikatorius; likusi dalis yra kontekstas, kurio nepažįstamam nereikia. Redaguokite likusią dalį prieš bendrindami ir pasakykite, kad tai padarėte, kad niekas nesistebėtų, ką reiškia tuščios vietos.

keyfile vietos nereiškia to paties

Su vietiniu keyfile papildiniu ryšio failai gali atsirasti trijuose kataloguose, o skirtumas tarp jų yra ilgaamžiškumas, ne patogumas.

Vykdymo kopijos redagavimas atrodo sėkmingas iki kito paleidimo, kai pakeitimas išgaruoja ir failas atrodo paslaptingai grąžintas. Paketo tiekiamos kopijos redagavimas veikia tol, kol atnaujinimas ją pakeičia, o tai yra lėtesnė ir painesnė tos pačios pamokos versija.

keyfile dokumentacija prideda detalių, kurių verta gerbti: tuose failuose gali būti privačių raktų ir slaptafrazių, o NetworkManager ignoruoja bet kurį keyfile, kurį gali skaityti ar rašyti kiti nei root vartotojai. Katalogo leidimų išplėtimas ieškant nustatymo sugadina įkėlimo elgseną, kurią bandėte ištirti.

Kai Netplan valdo ilgaamžiškumą

Ubuntu sistemoje Netplan dokumentacijoje aprašyta NetworkManager integracija, prieinama nuo 23.10, pakeičia, kur gyvena ilgalaikė kopija. Ne laikiniems ryšiams ji rašo /etc/netplan/90-NM-<connection UUID>.yaml ir sukuria efemerišką NetworkManager profilį po /run/NetworkManager/system-connections/.

Tai distribucijos integracija, o ne taisyklė kiekvienai NetworkManager įrangai. Prieš eidami ieškoti YAML failo patvirtinkite, kad įdiegti paketai ja tikrai naudojasi. Taip pat atminkite, kad vykdymo profilis gali būti kito dalyko sugeneruota atvaizdacija, o ne šaltinis, kurį verta redaguoti. Dvi komandos patikros sutaupo valandą redaguojant netinkamą failą.

Dokumentuotas pavyzdys išsaugo OpenVPN ryšį per Netplan nm-devices tipą su NetworkManager perdavimo duomenimis. Tai, kad Netplan neturi specialios tam tikro VPN lauko interpretacijos, nereiškia, kad jūsų išsaugotas VPN prarastas; tai reiškia, kad laukas keliauja kaip nepermatomi duomenys.

Laikinosios sąsajos nėra profiliai

Aktyvavimas sukuria laikinus virtualius ryšius ir sąsajas, kurie niekada nebuvo skirti išlikti. Integracija sąmoningai nerašo naujo YAML failo kiekvienam iš jų, todėl jų nebuvimas /etc/netplan kataloge nieko nesako apie tai, ar tėvinis profilis išsaugotas.

Jei persekiojate failą, kuris atsiranda ir išnyksta, tikriausiai žiūrite į vieną iš šių, o ne į savo konfigūraciją. Prieš darydami kokią nors išvadą iš jo turinio patikrinkite, ar jis išgyvena perkrovimą. Vykdymo failas, kuris išnyksta perkrovus, pasako, kad jis niekada nebuvo šaltinis, ir tas vienas pastebėjimas nukreipia visą tyrimą kita linkme. Tai taip pat paaiškina, kodėl redagavimas tada atrodė sėkmingas.

Paslaptys ir nuosavybė

Profilis gali nurodyti visai kitur saugomą sertifikatą ar raktą, o slaptažodis gali priklausyti NetworkManager, būti pateiktas vartotojo sesijos slapto agento, arba būti sąmoningai neišsaugotas. Todėl vieno failo radimas labai mažai nulemia, ko prireiks priežiūros neturinčiam paleidimui.

Peržiūrėkite nuorodas ir slaptumo vėliavas nespausdindami slaptų reikšmių. Darbalaukio prisijungimas gali padaryti prieinamą agentą, kurio nebuvo įkėlimo metu, o sugeneruoto vykdymo failo kopijavimas to agento neatkuria. Praktinis simptomas yra tunelis, kuris prisijungia, kai žmogus prisijungia, ir nepavyksta, kai mašina paleidžiama viena. Šis modelis rodo slaptųjų duomenų nuosavybę, o ne maršrutizavimą.

Atlikite patvirtintus pakeitimus per valdytoją, kuriam priklauso ryšys, ir tada patikrinkite tiek išsaugotą identifikatorių, tiek efektyvų ryšį. Laikykite vieną nuolatinį savininką, nes nepriklausomas importo, sugeneruoto keyfile ir YAML šaltinio redagavimas palieka tris konkuruojančius paaiškinimus, ką naudos kitas prisijungimas. Pasirinkite tai, kas tikrai išlieka, redaguokite tik tai ir biliete pažymėkite, kurį failą laikėte autoritetingu. Kitas žmogus padėkos už vieną kilmės eilutę.