Еден профил, два сопственици: NetworkManager или systemd

Со .ovpn-датотека не се случува ништо додека нешто не ја поседува. На десктоп со Pi веројатните сопственици се NetworkManager, кој увезена врска ја чува во сопствена keyfile-датотека, и самостојна услужна единица што чита конфигурација од директориум. Тоа се два модели на работа со различно складирање, различно постапување со акредитиви и различни правила за активирање. Свесниот избор на еден од нив е целата задача; копирањето на датотеката на двете места само го прави изборот случаен.

И двете можат да работат на една машина, но не на ист тунел во исти момент, а конфликтот изгледа како мрежна дефект, не како конфигурациска.

Два начина да поседувате ист тунел

Приклучокот OpenVPN на NetworkManager додава уредувач и услуга што ја управуваат врската наместо вас, а инсталирањето на програмата OpenVPN не ја инсталира таа интеграција. Самостојната единица е обратен распоред: без уредувач, без интеграција со десктопот, една конфигурациска датотека и онолку привилегии колку што дава единицата. Првата ја чува состојбата на врската во сопствена база на податоци, втората ја чува таму каде што велат профилот и единицата. Поголемиот дел од конфузијата доаѓа од претпоставката дека увезен профил и копирана датотека се ист објект.

Тоа не се два погледа на една работа. Уредувањето на преземената датотека не менува ниту што зачувал NetworkManager, ниту што чита единицата, и која било од нив може да биде таа што го изградила тунелот што штотуку го тестиравте.

Следете ја врската што десктопот навистина ја користи

Документираната операција за увоз, nmcli connection import type openvpn file office.ovpn, создава врска преку приклучокот. Забележете го нејзиниот UUID и користете го тој идентификатор понатаму, бидејќи имињата се уредуваат и две врски можат да делат иста ознака. nmcli connection show наведува што постои, а читањето на сопствените својства на врската ви кажува од која датотека дошла и што чува. Ако UUID-то што го уредувате не е тоа што десктопот го активира, вашите измени се само украс.

Тајните живеат во складиштето на сопственикот. Истурањето на секоја зачувана тајна за да откриете кој профил е активен е бавно и ризично; прашајте го објектот на врската наместо тоа и чувајте приватен материјал таму каде што сопственикот го очекува.

Увезената врска не и е потребна графичка сесија за да работи, но сепак може да и треба извор на акредитиви. Дали ќе стартува без надзор зависи од нејзините дозволи и тајни, не од присуството на десктопот.

Прочитајте го шаблонот на единицата пред да се потпрете на него

Каде што пакетот ја доставува клиентската единица во upstream стил, инстанцата наречена office одговара на %i.conf во конфигурираниот директориум на единицата, што за шаблонот 2.6 е /etc/openvpn/client. Прочитајте ја инсталираната единица и сите дополнителни датотеки пред да верувате на пример од водич, бидејќи дистрибуциите ги преместуваат патеките. Рачното стартување од терминал не докажува ништо за тоа како услугата гледа на датотеки, тајни или дозволи. Ни дијалогот за лозинка на десктопот не е доказ дека неинтерактивна единица има одобрен начин да ја добие истата лозинка.

Дајте и на единицата само што и треба. Олабавувањето на целиот sandbox на услугата затоа што една референцирана датотека не се чита заменува мала поправка на дозволи со голема изложеност, а грешката обично ја именува датотеката што бара внимание.

Повлечете го дупликатот без да го изгубите пристапот

Ако двата сопственици можат да го стартуваат тунелот, едниот на крајот победува во погрешен момент и рутите и уредот на губитникот остануваат зад него. Отстранете го случајниот дупликат преку неговиот сопствен сопственик, задржете го патот за враќање отворен и потврдете дека преостанатиот сопственик и понатаму се поврзува по рестартирање. Две свесно одделени VPN со различни политики за рутирање се друго дизајнерско прашање, не дозвола два пата за стартување да се натпреваруваат за една врска.

Потоа запишете го животниот циклус што го прифативте: рачно активирање, најава или подигање и повторно поврзување. Проверете ја зачуваната крајна точка, автентикацијата на другата страна и ресурсот што тунелот треба да го достигне, бидејќи преинсталирањето на десктопот не го заменува знаењето која конфигурација работела.