Vienas profilis, du savininkai: NetworkManager ar systemd

Su .ovpn failu nieko nevyksta tol, kol kažkas jį valdo. Pi darbalaukyje tikėtini savininkai yra NetworkManager, kuris importuotą ryšį saugo savo raktų faile, ir atskiras paslaugos vienetas, kuris skaito konfigūraciją iš katalogo. Tai du veikimo modeliai su skirtingu saugojimu, skirtingu prisijungimo duomenų tvarkymu ir skirtingomis aktyvavimo taisyklėmis. Sąmoningai pasirinkti vieną iš jų yra visas darbas; failo kopijavimas į abi vietas tik padaro pasirinkimą atsitiktiniu.

Abu gali veikti vienoje mašinoje, bet ne tame pačiame tunelyje tuo pačiu metu, o konfliktas atrodo kaip tinklo, o ne konfigūracijos sutrikimas.

Du būdai valdyti tą patį tunelį

NetworkManager OpenVPN papildinys prideda redaktorių ir paslaugą, kurie ryšį tvarko už jus, o OpenVPN programos įdiegimas neįdiegia šios integracijos. Atskiras vienetas yra priešingas išdėstymas: jokio redaktoriaus, jokios integracijos su darbalaukiu, vienas konfigūracijos failas ir teisės, kurias suteikia vienetas. Pirmasis ryšio būseną laiko savo duomenų bazėje, antrasis ją laiko ten, kur sako profilis ir vienetas. Daugiausia painiavos kyla iš prielaidos, kad importuotas profilis ir nukopijuotas failas yra tas pats objektas.

Tai ne dvi vieno dalyko pusės. Atsisiųsto failo redagavimas nekeičia nei to, ką išsaugojo NetworkManager, nei to, ką skaito vienetas, ir bet kuris iš jų gali būti tas, kuris sukūrė ką tik išbandytą tunelį.

Sekite ryšį, kurį darbalaukis iš tiesų naudoja

Dokumentuota importavimo operacija, nmcli connection import type openvpn file office.ovpn, sukuria ryšį per papildinį. Užsirašykite jo UUID ir toliau naudokite tą identifikatorių, nes pavadinimai redaguojami ir du ryšiai gali turėti vieną etiketę. nmcli connection show išvardija, kas egzistuoja, o paties ryšio savybių skaitymas pasako, iš kurio failo jis atėjo ir ką saugo. Jei redaguojamas UUID nėra tas, kurį aktyvuoja darbalaukis, jūsų pakeitimai tėra puošmena.

Paslaptys gyvena savininko saugykloje. Išpilti kiekvieną išsaugotą paslaptį, norint sužinoti, kuris profilis aktyvus, yra lėta ir rizikinga; vietoj to paklauskite ryšio objekto ir laikykite privatų turinį ten, kur savininkas jo tikisi.

Importuotam ryšiui nereikia grafinės sesijos, kad veiktų, bet jam vis tiek gali reikėti prisijungimo duomenų šaltinio. Ar jis startuos be priežiūros, priklauso nuo jo teisių ir paslapčių, o ne nuo darbalaukio buvimo.

Perskaitykite vieneto šabloną prieš juo pasikliaudami

Kai paketas pateikia upstream stiliaus kliento vienetą, egzempliorius, pavadintas office, atitinka %i.conf failą sukonfigūruotame vieneto kataloge, kuris 2.6 šablonui yra /etc/openvpn/client. Perskaitykite įdiegtą vienetą ir bet kokius papildomus failus prieš pasitikėdami vadovo pavyzdžiu, nes distribucijos perkelia kelius. Rankinis paleidimas iš terminalo nieko neįrodo apie paslaugos požiūrį į failus, paslaptis ar teises. Darbalaukio slaptažodžio dialogas taip pat neįrodo, kad neinteraktyvus vienetas turi patvirtintą būdą gauti tą patį slaptažodį.

Duokite vienetui tik tai, ko jam reikia. Atsilaisvinti visą paslaugos smėlio dėžę dėl to, kad vienas nurodytas failas neperskaitomas, iškeičia mažą teisių pataisą į didelį pavojų, o klaida paprastai įvardija failą, kuriam reikia dėmesio.

Išimkite dublikatą neprarasdami prieigos

Jei abu savininkai gali paleisti tunelį, vienas galiausiai laimi netinkamu momentu, o pralaimėjusiojo maršrutai ir įrenginys lieka už nugaros. Pašalinkite atsitiktinį dublikatą per jo paties savininką, palikite atkūrimo kelią atvirą ir patvirtinkite, kad likęs savininkas vis dar prisijungia po perkrovimo. Dvi sąmoningai atskiros VPN su skirtingomis maršrutizavimo taisyklėmis yra kitas projektavimo klausimas, o ne leidimas dviem paleidimo keliams konkuruoti dėl vieno ryšio.

Tada užrašykite priimtą gyvavimo ciklą: rankinis aktyvavimas, prisijungimas arba paleidimas ir prisijungimas iš naujo. Patikrinkite išsaugotą galinį tašką, kitos pusės autentifikavimą ir išteklių, kurį tunelis turi pasiekti, nes darbalaukio perdiegimas nepakeičia žinojimo, kuri konfigūracija veikė.