NM OpenVPN: profil tersimpan bukan fail .ovpn anda

Fail .ovpn yang sama bersambung dari shell dan tamat masa selepas diimport ke NetworkManager. Kesimpulan semula jadinya ialah VPN rosak. Penjelasan yang lebih mungkin lebih kecil: NetworkManager tidak menyimpan fail itu, ia mengimport sebahagian daripadanya ke sambungan tersimpan, dan terowong yang berjalan menggunakan data tersimpan itu sebagai gantinya. Apa yang dikatakan fail sekarang tidak relevan dengan apa yang dipegang profil.

Fail bukan profil

Import ialah terjemahan, bukan pelekap. Pilihan yang difahami pemalam menjadi kunci dalam vpn.data kamus sambungan; pilihan yang tidak difahaminya dibuang atau direkodkan di tempat lain, dan laluan asal hanyalah rujukan. Menyunting fail sumber selepas itu tidak mengubah apa-apa pada sambungan yang sudah tersimpan.

Jurang itu menjelaskan seluruh keluarga laporan: kunci dikongsi diputar, fail dikemas kini, dan terowong masih gagal. Profil tersimpan masih menunjuk ke laluan lama atau nilai lama, dan baris arahan terus berfungsi kerana ia membaca fail yang anda sunting. Dua klien, dua sumber kebenaran, dan hanya satu daripadanya dikemas kini.

Baca profil tersimpan, bukan dialog

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Gunakan UUID apabila dua profil berkongsi nama, dan sahkan bahawa jenis perkhidmatan ialah OpenVPN pemalam yang anda jangkakan, bukan jenis VPN lain yang kebetulan dipasang. Kemudian bandingkan titik akhir, pengangkutan dan rujukan sijil dengan panggilan yang berfungsi.

Nilai yang kelihatan dalam editor grafik bukan bukti ia telah disimpan. Simpan, buka semula dan baca semula melalui baris arahan; kecacatan simpanan sejarah ialah sebab untuk memeriksa data tersimpan, bukan bukti setiap binaan semasa mempunyai pepijat yang sama. Pemeriksaan itu berharga satu arahan.

Dua kunci, dan satu arah yang penting

Untuk sambungan yang menggunakan pengesahan TLS, pemalam menyimpan laluan kunci dikongsi dalam ta dan arah dalam ta-dir, apabila penggunaan menggunakan satu. Kedua-duanya tinggal dalam kamus data profil, dan kedua-duanya mesti sepadan dengan apa yang dijangka pelayan.

Arah ialah keputusan sebelah pelayan yang dinyatakan pada klien. Memilih satu kerana profil jiran memilikinya ialah cara kunci yang berfungsi mula gagal dalam jabat tangan. Jika konfigurasi pelayan tiada arah, klien tidak sepatutnya mencipta arah.

Fail kunci itu sendiri mesti boleh dibaca oleh pemalam dalam konteks ia benar-benar berjalan. Pakej terbatas mempunyai pandangan sistem fail yang berbeza daripada pemasangan desktop biasa, jadi laluan yang wujud dalam shell anda mungkin tidak kelihatan kepada perkhidmatan.

Kemas kini satu entri, bukan kamus

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Tanda tambah di hadapan mengemas kini entri kamus secara individu. Menetapkan vpn.data tanpanya menggantikan seluruh kamus, dan begitulah satu kunci yang hilang bertukar menjadi lima tetapan rosak. Baca semula profil selepas perubahan dan sahkan entri lain terselamat. Kamus yang kehilangan titik akhir jauh dan sijilnya ialah petang yang jauh lebih panjang daripada yang anda mulakan.

Sambung semula melalui kawalan biasa dan perhatikan peringkat yang gagal. Jika pintu kunci dikongsi kini lulus dan klien melaporkan ralat sijil atau pengesahan pengguna, anda telah bergerak ke hadapan dan siasatan seterusnya berbeza.

Jangan campurkan mod saluran kawalan

tls-auth, tls-crypt, dan tls-crypt-v2 ialah susunan yang berbeza. Fail kunci yang kelihatan serupa tidak menjadikannya boleh ditukar ganti, dan mengisi medan TLS-Auth kerana profil lain mengandungi kunci berformat menghasilkan profil yang gagal dengan cara menyerupai kunci yang salah.

Gunakan pemetaan pemalam yang sepadan dengan mod dalam konfigurasi pelayan. Apabila mod tidak jelas, tanya pemilik pelayan dan bukan meneka dari baris pertama fail.

Kekalkan laluan pemulihan apabila terowong membawa sesi pengurusan anda. Perubahan tersimpan tidak semestinya perubahan yang digunakan, dan import yang berjaya bukan bukti setiap pilihan sumber disokong. Kedua-dua jurang itu wajar diketahui sebelum anda menyambung semula pautan yang anda gunakan untuk bekerja.