NetworkManager importeert je OpenVPN-profiel niet? Lees dit

Profielen die in een andere OpenVPN client prima verbinden, kunnen weigeren in NetworkManager te importeren, en de dialoog geeft de importfunctie van de plug-in de schuld. Die zin gaat over jouw machine, niet over het bestand of de server. Importeren is een lokale bewerking die door de VPN-plug-in van de beheerder wordt uitgevoerd, en op het moment dat die mislukt is er niets ergens heen gestuurd. Behandel het eerst als een vraag over verpakking en daarna als een vraag over parsering.

Lees de melding als een lokale uitspraak

De zin beschrijft de functieset van de plug-in. Ofwel de plug-in die OpenVPN-ondersteuning biedt ontbreekt, ofwel de component die de importactie aanbiedt is ouder dan het formaat dat je hem geeft. Beide gevallen zijn lokaal voor de machine voor je.

Let op wat de melding niet zegt. Ze zegt niet dat het certificaat fout is, het wachtwoord verlopen is of de server plat ligt, dus een herstart of een wijziging van inloggegevens lost het niet op. Lees haar als een uitspraak over geïnstalleerde software.

Dat onderscheid bespaart de meeste tijd in dit hele artikel, want de reflex is naar buiten kijken, naar de gateway, terwijl de fout volledig op de desktop ligt.

Stap 1: controleer de plug-in en de editor

Twee pakketten doen ertoe en ze doen verschillend werk. Het ene levert de VPN-plug-in van NetworkManager die de verbinding bezit; het andere levert de bewerkings- en importinterface van de desktop. Alleen de runtime of alleen de editor installeren geeft je de helft van een functie.

nmcli --version
nmcli connection show
rpm -q NetworkManager-openvpn NetworkManager-openvpn-gnome 2>/dev/null

dpkg -l | grep -i network-manager-openvpn

Gebruik het verpakkingscommando dat je distributie echt heeft; de twee regels hierboven zijn alternatieven, geen volgorde. Controleer ook of je überhaupt in de NetworkManager-stroom zit, want een andere OpenVPN-client met zijn eigen importeur reageert op geen van deze adviezen.

Het installeren van de plug-in herstart of herlaadt NetworkManager meestal, waardoor bestaande verbindingen kort wegvallen. Doe dat bewust en niet midden in een supportgesprek.

Stap 2: importeer met nmcli en krijg een echte melding

De grafische dialoog heeft de neiging meerdere fouten in één zin te persen. De importeur op de commandoregel is specifieker, en het is dezelfde bewerking:

nmcli connection import type openvpn file /path/to/client.ovpn
nmcli connection show --active

Lees het antwoord zorgvuldig. Een klacht over een ontbrekende plug-in is een verpakkingsprobleem. Een klacht over een specifieke richtlijn is een parserprobleem. Een klacht over een genoemd bestand is een padprobleem, en de drie hebben niets gemeen behalve het woord import.

Bedenk dat succes hier een opgeslagen profiel oplevert. Het maakt geen verbinding, en het bewijst niet dat het profiel elke functie van het origineel heeft behouden.

Stap 3: laat inline-certificaten waar ze zijn

Ouder advies zegt dat je elk inline-certificaat- en sleutelblok moet verwijderen voordat je importeert. Dat advies is verouderd. De huidige importeur verwerkt inline-objecten, en ze verwijderen haalt de identiteit weg die de verbinding nodig heeft en levert een profiel op dat importeert en daarna niet authenticeert.

Als je materiaal echt om een specifieke reden moet afsplitsen, bewaar dan het originele bestand en noteer welk blok waarheen ging. Een profiel dat drie mensen drie keer hebben bewerkt is geen configuratie waarover je later kunt nadenken.

Dezelfde voorzichtigheid geldt voor leveranciersrichtlijnen. Een cliëntspecifieke optie kan buiten de functieset van één plug-inversie vallen zonder ongeldige OpenVPN-syntaxis te zijn, en hem verwijderen alleen om de dialoog te sluiten kan het gedrag stil veranderen.

Stap 4: controleer wat het profiel nu betekent

Controleer na een geslaagde import het eindpunt, de authenticatieopzet, de bestandsverwijzingen en waar geheimen worden opgeslagen voordat je iets activeert. Juist op die vier punten lopen import en bedoeling het vaakst uiteen.

Controleer daarna het gedrag dat je echt belangrijk vindt: routes, DNS en of de functies van het oorspronkelijke profiel behouden bleven. Dat zijn de drie plekken waar een geslaagde import de persoon die erom vroeg alsnog kan teleurstellen. Een geslaagde import en een verbinding die zich correct gedraagt zijn twee verschillende resultaten, en alleen het tweede telt voor de gebruiker.

Als het geïmporteerde profiel zich anders gedraagt dan de oorspronkelijke client, vergelijk dan de twee configuraties in plaats van ze uit het geheugen opnieuw op te bouwen, want het verschil is meestal één regel.

Stap 5: laat één beheerder de tunnel bezitten

Zodra het profiel in NetworkManager woont, laat het de verbinding bezitten. Een apart OpenVPN-proces als omweg starten maakt een tweede beheerpad met eigen resolvergedrag, eigen inloggegevens en een eigen levenscyclus.

Twee tunnels die beide menen de standaardroute te bezitten geven symptomen die op een kapotte provider lijken, en de oplossing is er één verwijderen in plaats van een van beide af te stellen.