Eén profiel, twee eigenaren: NetworkManager of systemd

Er gebeurt niets met een .ovpn-bestand tot iets het bezit. Op een Pi-desktop zijn de plausibele eigenaren NetworkManager, dat een geïmporteerde verbinding in zijn eigen sleutelbestand opslaat, en een zelfstandige service-unit die een configuratie uit een map leest. Dat zijn twee bedrijfsmodellen met andere opslag, andere omgang met inloggegevens en andere activeringsregels. Een van beide bewust kiezen is de hele opgave; het bestand op beide plaatsen kopiëren maakt de keuze alleen toevallig.

Beide kunnen op één machine werken, maar niet op dezelfde tunnel op hetzelfde moment, en het conflict ziet eruit als een netwerkstoring, niet als een configuratiestoring.

Twee manieren om dezelfde tunnel te bezitten

De OpenVPN-plugin van NetworkManager voegt een editor en een service toe die de verbinding voor u beheren, en het installeren van het OpenVPN-programma installeert die integratie niet. Een zelfstandige unit is de omgekeerde opstelling: geen editor, geen desktopintegratie, één configuratiebestand en de rechten die de unit geeft. De eerste houdt de verbindingsstatus in zijn eigen database, de tweede houdt die waar het profiel en de unit het zeggen. De meeste verwarring komt uit de aanname dat een geïmporteerd profiel en een gekopieerd bestand hetzelfde object zijn.

Het zijn geen twee weergaven van één ding. Het gedownloade bestand bewerken verandert noch wat NetworkManager heeft opgeslagen, noch wat de unit leest, en een van beide kan degene zijn die de tunnel bouwde die u net hebt getest.

Volg de verbinding die de desktop echt gebruikt

De gedocumenteerde importbewerking, nmcli connection import type openvpn file office.ovpn, maakt een verbinding via de plugin. Noteer de UUID en gebruik die identificatie daarna, want namen worden bewerkt en twee verbindingen kunnen één label delen. nmcli connection show somt op wat bestaat, en het lezen van de eigenschappen van de verbinding zelf vertelt u uit welk bestand hij kwam en wat hij opslaat. Als de UUID die u bewerkt niet degene is die de desktop activeert, is uw bewerking decoratie.

Geheimen leven in de opslag van de eigenaar. Elk opgeslagen geheim uitstorten om erachter te komen welk profiel actief is, is traag en riskant; vraag het verbindingsobject in plaats daarvan, en houd privémateriaal waar de eigenaar het verwacht.

Een geïmporteerde verbinding heeft geen grafische sessie nodig om te draaien, maar kan nog steeds een bron van inloggegevens nodig hebben. Of hij zonder toezicht start, hangt af van zijn rechten en geheimen, niet van de aanwezigheid van de desktop.

Lees de unit-template voordat u erop vertrouwt

Waar het pakket de client-unit in upstream-stijl levert, komt een instantie met de naam office overeen met %i.conf in de geconfigureerde map van de unit, wat voor de 2.6-template /etc/openvpn/client is. Lees de geïnstalleerde unit en eventuele extra bestanden voordat u een voorbeeld uit een handleiding vertrouwt, want distributies verplaatsen paden. Een handmatige start vanuit een terminal bewijst niets over hoe de service naar bestanden, geheimen of rechten kijkt. Ook de wachtwoorddialoog van de desktop is geen bewijs dat een niet-interactieve unit een goedgekeurde manier heeft om hetzelfde wachtwoord te krijgen.

Geef de unit alleen wat hij nodig heeft. De hele sandbox van de service versoepelen omdat één verwezen bestand onleesbaar is, ruilt een kleine rechtencorrectie voor een grote blootstelling, en de fout noemt meestal het bestand dat aandacht nodig heeft.

Trek het duplicaat terug zonder toegang te verliezen

Als beide eigenaren de tunnel kunnen starten, wint een van hen uiteindelijk op het verkeerde moment en blijven de routes en het apparaat van de verliezer achter. Verwijder het onbedoelde duplicaat via zijn eigen eigenaar, houd een herstelpad open en bevestig dat de resterende eigenaar na een herstart nog steeds verbindt. Twee bewust gescheiden VPN's met verschillend routeringsbeleid zijn een andere ontwerpvraag, geen toestemming voor twee startpaden om om één verbinding te strijden.

Schrijf daarna de levenscyclus op die u hebt geaccepteerd: handmatige activering, inloggen, of opstarten en opnieuw verbinden. Controleer het opgeslagen eindpunt, de authenticatie van de tegenpartij en de bron die de tunnel moet bereiken, want de desktop opnieuw installeren vervangt niet de kennis welke configuratie heeft gedraaid.