NM OpenVPN: išsaugotas profilis nėra jūsų .ovpn failas

Tas pats .ovpn failas prisijungia iš shell ir pasibaigia skirtuoju laiku po importo į NetworkManager. Natūrali išvada — VPN sulūžęs. Tikėtinas paaiškinimas mažesnis: NetworkManager failo nepalaikė, jo dalį importavo į išsaugotą ryšį, o veikiantis tunelis vietoj to naudoja tuos išsaugotus duomenis. Ką failas dabar sako, neaktualu tam, ką profilis turi.

Failas nėra profilis

Importas yra vertimas, o ne prijungimas. Parinktys, kurias įskiepis supranta, tampa raktai vpn.data ryšio žodyne; parinktys, kurių jis nesupranta, išmetamos arba užrašomos kitur, o pradinis kelias yra tik nuoroda. Vėliau redaguoti šaltinio failą nieko nekeičia jau išsaugotame ryšyje.

Šis atotrūkis paaiškina visą šeimą pranešimų: bendras raktas buvo pasuktas, failas atnaujintas, o tunelis vis tiek nepavyksta. Išsaugotas profilis vis dar rodo į seną kelią ar seną reikšmę, o komandų eilutė toliau veikia, nes skaito failą, kurį redagavote. Du klientai, du tiesos šaltiniai, ir atnaujintas tik vienas iš jų.

Skaitykite išsaugotą profilį, o ne dialogą

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Naudokite UUID, kai du profiliai turi tą patį pavadinimą, ir patvirtinkite, kad paslaugos tipas yra laukiamas OpenVPN įskiepis, o ne kitas VPN tipas, kuris atsitiktinai įdiegtas. Tada palyginkite galinį tašką, transportą ir sertifikatų nuorodas su veikiančiu iškvietimu.

Grafiniame redaktoriuje matoma reikšmė nėra įrodymas, kad ji buvo išsaugota. Išsaugokite, atidarykite iš naujo ir perskaitykite per komandų eilutę; istoriniai išsaugojimo defektai yra priežastis patikrinti išsaugotus duomenis, o ne įrodymas, kad kiekviena dabartinė versija turi tą pačią klaidą. Patikra kainuoja vieną komandą.

Du raktai ir kryptis, kuri svarbi

Ryšiui, kuris naudoja TLS autentifikaciją, įskiepis saugo bendro rakto kelią ta lauke, o kryptį ta-dir lauke, kai diegimas naudoja kryptį. Abu gyvena profilio duomenų žodyne, ir abu turi atitikti tai, ko tikisi serveris.

Kryptis yra serverio pusės sprendimas, išreikštas kliente. Pasirinkti vieną todėl, kad jį turi kaimyninis profilis, yra kelias, kuriuo veikiantis raktas pradeda nepavyksti rankos paspaudime. Jei serverio konfigūracija be krypties, klientas neturėtų išrasti krypties.

Pats rakto failas turi būti įskiepiui skaitomas tame kontekste, kuriame jis iš tikrųjų veikia. Ribotas paketas turi kitokį failų sistemos vaizdą nei įprasta darbalaukio diegimo versija, todėl kelias, kuris yra jūsų shell, gali būti nematomas paslaugai.

Atnaujinkite vieną įrašą, o ne žodyną

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Priešakinys pliusas atnaujina atskirus žodyno įrašus. Priskyrimas vpn.data be jo pakeičia visą žodyną, ir taip vienas trūkstamas raktas virsta penkiais sulaužytais nustatymais. Po pakeitimo perskaitykite profilį ir patvirtinkite, kad kiti įrašai išliko. Žodynas, kuris prarado nuotolinį galinį tašką ir sertifikatus, yra daug ilgesnis popietė nei ta, kurią pradėjote.

Prisijunkite iš naujo per įprastas valdymo priemones ir stebėkite etapą, kuris nepavyksta. Jei bendro rakto vartai dabar praeina ir klientas praneša sertifikato arba vartotojo autentifikacijos klaidą, jūs pajudėjote į priekį, o kitas tyrimas yra kitas.

Nesumaišykite valdymo kanalo režimų

tls-auth, tls-crypt, ir tls-crypt-v2 yra skirtingi išdėstymai. Panašiai atrodantis rakto failas nepadaro jų keičiamais, o TLS-Auth laukų užpildymas todėl, kad kitame profilyje yra suformatuotas raktas, sukuria profilį, kuris nepavyksta taip, kaip neteisingas raktas.

Naudokite įskiepio susiejimą, kuris atitinka režimą serverio konfigūracijoje. Kai režimas neaiškus, paklauskite serverio savininko, o ne spėkite iš pirmos failo eilutės.

Išsaugokite atkūrimo kelią, kai tunelis neša jūsų administravimo sesiją. Išsaugotas pakeitimas nebūtinai yra pritaikytas pakeitimas, o sėkmingas importas nėra įrodymas, kad kiekviena šaltinio parinktis buvo palaikoma. Abi šias spragas verta žinoti prieš iš naujo prijungiant saitą, per kurį dirbate.