Wi-Fi verbindt zelf; de VPN heeft een secundaire associatie nodig

De laptop maakt verbinding met Wi-Fi voordat je gaat zitten, en de VPN wacht nog steeds op een klik. Automatisch verbinden op het VPN-profiel instellen verandert niets, omdat die schakelaar de activering van het profiel zelf regelt en NetworkManager een VPN als begeleider van een basisverbinding behandelt. Het gedocumenteerde mechanisme is de secundaire lijst van de basisverbinding, en dat is een andere eigenschap op een andere plek.

Automatisch verbinden is niet de VPN-schakelaar

Een Wi-Fi- of Ethernet-profiel kan zichzelf activeren omdat het een apparaat bezit. Een VPN-invoegtoepassingsprofiel bezit niet in dezelfde zin een apparaat; het wordt gestart naast een verbinding die er wel een bezit. Daarom ziet de vlag voor automatisch verbinden op de VPN er goed uit, wordt hij correct opgeslagen en levert hij geen tunnel op. De vlag beantwoordt een vraag over het profiel, niet over het netwerk dat het nodig heeft.

Het model zo lezen verklaart ook de faalmodus. De basis maakt verbinding, niets vraagt de VPN om te starten, en de desktop toont een losgekoppelde VPN naast een verbonden netwerk. Niets is stuk; de associatie is nooit gemaakt.

Identificeer beide profielen via UUID

nmcli -f NAME,UUID,TYPE connection show

Kies het Wi-Fi- of Ethernet-profiel dat de tunnel moet activeren, dan het bedoelde VPN-profiel. Gebruik UUID's in plaats van namen, want een naam is een label dat gedupliceerd of bewerkt kan worden, en de UUID is wat het activeringspad werkelijk oplost.

Verwar een profielnaam niet met een interfacenaam of een adres dat de machine op dit moment heeft. Dat zijn drie verschillende identificaties die toevallig op elkaar lijken in een terminal, en ze door elkaar halen levert een wijziging op die nergens op is gericht.

Voeg de VPN toe aan de basisverbinding

nmcli connection modify uuid "PRIMARY_UUID" +connection.secondaries "VPN_UUID"

De plusvorm voegt toe aan de bestaande lijst; laat je die weg, dan wordt de lijst vervangen, wat elke andere al geconfigureerde secundaire verbinding stil verwijdert. Bekijk eerst de huidige waarde en noteer die voordat je iets wijzigt.

De verbindingsinstellingen van NetworkManager beschrijven secundairen als VPN-verbindingen die samen met de basisverbinding worden gestart. Of een native WireGuard-profiel hetzelfde soort object is, hangt af van hoe NetworkManager het beheert, dus hetzelfde commando kan het verkeerde gereedschap zijn voor een tunnel die als interface verschijnt in plaats van als VPN-invoegtoepassing.

Dit is een wijziging van het verbindingsbeleid, geen schakelaar tijdens runtime. Pas hem toe via welk herverbindingsproces de uitrol ook goedkeurt, en verwacht dat de eerste activering na de wijziging zich anders gedraagt dan de sessie waarin je nu zit.

Geheimen maken geen deel uit van de associatie

Een secundaire vermelding zegt «start dit met dat». Niets erin geeft een wachtwoord over, ontgrendelt een sleutelbos of beantwoordt een prompt. Een profiel dat na een desktop-login vlot authenticatie doorstaat, kan alsnog mislukken wanneer het wordt geactiveerd in een context waarin de geheimenagent niet beschikbaar is.

Gebruik de ondersteunde systeem- of geheimenagentregeling voor de daadwerkelijke uitrol. Ieders wachtwoord in een script opslaan zodat de tunnel onbeheerd kan starten, verandert een authenticatieontwerp in een bestand dat het dienstverband van zijn eigenaar overleeft.

Lees beide gebeurtenissen en controleer dan de resource

Volg tijdens één poging de basisverbinding en de VPN-activering. Een ontbrekende VPN-gebeurtenis betekent dat de trigger nooit is geconfigureerd of dat de UUID verkeerd is. Een VPN-gebeurtenis gevolgd door een authenticatiefout betekent dat de trigger liep en dat het resterende probleem de inloggegevens zijn, wat een andere oplossing is.

Vraag na de activering de resource op die de opzet motiveerde in plaats van het pictogram te vertrouwen. Verbreek daarna bewust de verbinding en kijk wat er daarna gebeurt, want een associatie voor automatisch starten is geen noodschakelaar en belooft geen eindeloze nieuwe pogingen. Als de eis «geen verkeer zonder de tunnel» is, is dat een apart beleid dat zijn eigen configuratie en zijn eigen test nodig heeft. De twee verwarren is hoe een machine in een lus opnieuw verbindt terwijl de gebruiker denkt dat hij beschermd is.