NM OpenVPN: saglabātais profils nav jūsu .ovpn fails

Tas pats .ovpn fails savienojas no shell un pēc importēšanas NetworkManager beidzas ar taimautu. Dabiskais secinājums ir, ka VPN ir salūzis. Ticamāks skaidrojums ir mazāks: NetworkManager failu nesaglabāja, daļu no tā importēja saglabātā savienojumā, un darbojošais tunelis tā vietā izmanto šos saglabātos datus. Tam, ko fails tagad saka, nav nozīmes attiecībā uz to, ko satur profils.

Fails nav profils

Imports ir tulkojums, nevis montāža. Opcijas, ko spraudnis saprot, kļūst par atslēgām savienojuma vpn.data vārdnīcā; opcijas, ko tas nesaprot, tiek izmestas vai reģistrētas citur, un sākotnējais ceļš ir tikai atsauce. Vēlāka avota faila rediģēšana neko nemaina jau saglabātajā savienojumā.

Šī plaisa izskaidro veselu ziņojumu saimi: koplietotā atslēga tika rotēta, fails tika atjaunināts, un tunelis joprojām neizdodas. Saglabātais profils joprojām norāda uz veco ceļu vai veco vērtību, un komandrinda turpina darboties, jo tā lasa failu, kuru jūs rediģējāt. Divi klienti, divi patiesības avoti, un atjaunināts tika tikai viens no tiem.

Lasiet saglabāto profilu, nevis dialogu

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Izmantojiet UUID, kad divi profili dala nosaukumu, un apstipriniet, ka pakalpojuma tips ir gaidītais OpenVPN spraudnis, nevis cits VPN tips, kas nejauši ir instalēts. Pēc tam salīdziniet galapunktu, transportu un sertifikātu atsauces ar strādājošo izsaukumu.

Grafiskajā redaktorā redzama vērtība nav pierādījums tam, ka tā tika saglabāta. Saglabājiet, atveriet no jauna un izlasiet to atpakaļ caur komandrindu; vēsturiski saglabāšanas defekti ir iemesls pārbaudīt saglabātos datus, nevis pierādījums, ka katram pašreizējam būvējumam ir tā pati kļūda. Pārbaude izmaksā vienu komandu.

Divas atslēgas un virziens, kam ir nozīme

Savienojumam, kas izmanto TLS autentifikāciju, spraudnis saglabā koplietotās atslēgas ceļu ta laukā un virzienu ta-dir laukā, ja izvietojums izmanto virzienu. Abi dzīvo profila datu vārdnīcā, un abiem jāatbilst tam, ko gaida serveris.

Virziens ir servera puses lēmums, kas izteikts klientā. Izvēlēties vienu tāpēc, ka blakus profilam tas ir, ir veids, kā strādājoša atslēga sāk neizdoties rokasspiedienā. Ja servera konfigurācijai nav virziena, klientam nevajadzētu izgudrot virzienu.

Pašam atslēgas failam jābūt spraudnim lasāmam kontekstā, kurā tas faktiski darbojas. Ierobežotai pakotnei ir citāds failu sistēmas skats nekā parastai darbvirsmas instalācijai, tāpēc ceļš, kas pastāv jūsu shell, var būt neredzams pakalpojumam.

Atjauniniet vienu ierakstu, nevis vārdnīcu

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Sākuma plus atjaunina atsevišķus vārdnīcas ierakstus. Piešķiršana vpn.data bez tā aizstāj visu vārdnīcu, un tā viens trūkstošs taustiņš pārvēršas piecos salauztos iestatījumos. Pēc izmaiņām izlasiet profilu atpakaļ un apstipriniet, ka pārējie ieraksti ir izdzīvojuši. Vārdnīca, kas zaudējusi attālo galapunktu un sertifikātus, ir daudz garāka pēcpusdiena nekā tā, ar ko jūs sākāt.

Savienojieties no jauna ar parastajām vadīklām un vērojiet posmu, kas neizdodas. Ja koplietotās atslēgas vārti tagad iztur un klients ziņo par sertifikāta vai lietotāja autentifikācijas kļūdu, jūs esat pavirzījies uz priekšu, un nākamā izmeklēšana ir cita.

Nejauciet vadības kanāla režīmus

tls-auth, tls-crypt, un tls-crypt-v2 ir atšķirīgi izkārtojumi. Līdzīgi izskatīgs atslēgas fails nepadara tos savstarpēji aizstājamus, un TLS-Auth lauku aizpildīšana tāpēc, ka citā profilā ir formatēta atslēga, rada profilu, kas neizdodas tā, it kā atslēga būtu nepareiza.

Izmantojiet spraudņa kartējumu, kas atbilst režīmam servera konfigurācijā. Kad režīms nav skaidrs, jautājiet servera īpašniekam, nevis miniet no faila pirmās rindas.

Saglabājiet atkopšanas ceļu, kad tunelis pārvadā jūsu pārvaldības sesiju. Saglabātas izmaiņas ne vienmēr ir piemērotas izmaiņas, un veiksmīgs imports nav pierādījums, ka katra avota opcija tika atbalstīta. Abas šīs plaisas ir vērts zināt pirms saites, pa kuru strādājat, atkārtotas pievienošanas.