NM OpenVPN: зачуваниот профил не е вашата .ovpn датотека

Истата .ovpn датотека се поврзува од школка и истекува по увозот во NetworkManager. Природниот заклучок е дека VPN-от е расипан. Поверојатното објаснување е помало: NetworkManager не ја задржа датотеката, увезе дел од неа во зачувана врска, а тунелот што работи наместо тоа ги користи тие зачувани податоци. Што и да вели датотеката сега, тоа е неважно за она што го содржи профилот.

Датотеката не е профилот

Увозот е превод, не монтирање. Опциите што приклучокот ги разбира стануваат клучеви во vpn.data речникот на врската; опциите што не ги разбира се отфрлаат или се запишуваат на друго место, а оригиналната патека е само упатување. Подоцнежното уредување на изворната датотека не менува ништо во веќе зачуваната врска.

Овој јаз објаснува цело семејство извештаи: заедничкиот клуч беше ротиран, датотеката беше ажурирана, а тунелот сe уште не успева. Зачуваниот профил сe уште покажува на старата патека или старата вредност, а командната линија продолжува да работи затоа што ја чита датотеката што сте ја уредиле. Два клиенти, два извора на вистина, и само еден од нив беше ажуриран.

Читајте го зачуваниот профил, не дијалогот

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Користете UUID кога два профила делат име, и потврдете дека типот на услуга е очекуваниот OpenVPN приклучок, а не друг тип на VPN што случајно е инсталиран. Потоа споредете ја крајната точка, транспортот и упатувањата на сертификатите со работниот повик.

Вредноста видлива во графички уредувач не е доказ дека е зачувана. Зачувајте, отворете повторно и прочитајте ја назад преку командната линија; историските дефекти при зачувување се причина да ги проверите зачуваните податоци, а не доказ дека секое тековно издание ја има истата грешка. Проверката чини една команда.

Два клуча и насока што е важна

За врска што користи TLS автентикација, приклучокот ја зачувува патеката до заедничкиот клуч во ta и насоката во ta-dir, кога распоредувањето користи насока. Двете живеат во речникот со податоци на профилот и двете мора да одговараат на она што го очекува серверот.

Насоката е одлука на страната на серверот изразена на клиентот. Изборот на една затоа што соседниот профил ја има е начинот на кој работен клуч почнува да не успева при ракување. Ако конфигурацијата на серверот е без насока, клиентот не треба да измислува насока.

Самата датотека со клуч мора да биде читлива за приклучокот во контекстот во кој навистина работи. Ограничен пакет има поинаков поглед на датотечниот систем од обична инсталација на работна површина, така што патека што постои во вашата школка може да биде невидлива за услугата.

Ажурирајте еден запис, не речникот

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Водечкиот плус ажурира поединечни записи во речникот. Доделувањето на vpn.data без него го заменува целиот речник и така еден клуч што недостига се претвора во пет расипани поставки. Прочитајте го профилот назад по промената и потврдете дека другите записи преживеале. Речник што го загубил далечниот крај и сертификатите е многу подолго попладне од она со кое почнавте.

Поврзете се повторно преку обичните контроли и гледајте ја фазата што не успева. Ако портата за заеднички клуч сега поминува и клиентот пријави грешка со сертификат или автентикација на корисник, сте напредувале и следната истрага е друга.

Не ги мешајте режимите на контролниот канал

tls-auth, tls-crypt, и tls-crypt-v2 се различни распореди. Датотека со клуч што изгледа слично не ги прави заменливи, а пополнувањето на полињата TLS-Auth затоа што друг профил содржи форматиран клуч создава профил што не успева на начин што наликува на погрешен клуч.

Користете го мапирањето на приклучокот што одговара на режимот во конфигурацијата на серверот. Кога режимот е нејасен, прашајте го сопственикот на серверот наместо да погодувате од првата линија на датотеката.

Задржете пат за враќање кога тунелот ја носи вашата сесија за управување. Зачуваната промена не е нужно применета промена, а успешниот увоз не е доказ дека секоја изворна опција била поддржана. Двата јаза вреди да се знаат пред повторно да ја поврзете врската преку која работите.