Éin profil, to eigarar: NetworkManager eller systemd

Det skjer ingenting med ei .ovpn-fil før noko eig henne. På ein Pi-skrivebord er dei trulege eigarane NetworkManager, som lagrar ei importert tilkopling i si eiga nøkkelfil, og ei frittståande tenesteeining som les ein konfigurasjon frå ei mappe. Det er to driftsmodellar med ulik lagring, ulik handsaming av påloggingsinformasjon og ulike aktiveringsreglar. Å velje éin av dei med vilje er heile oppgåva; å kopiere fila til begge stadene gjer berre valet tilfeldig.

Begge kan fungere på éin maskin, men ikkje på same tunnel i same augneblink, og konflikten ser ut som ein nettverksfeil snarare enn ein konfigurasjonsfeil.

To måtar å eige same tunnel på

NetworkManagers OpenVPN-plugin legg til eit redigeringsprogram og ei teneste som styrer tilkoplinga for deg, og å installere OpenVPN-programmet installerer ikkje den integrasjonen. Ei frittståande eining er den motsette ordninga: inga redigering, ingen skrivebordsintegrasjon, éi konfigurasjonsfil og dei rettane eininga gir. Den første held tilkoplingstilstanden i sin eigen database, den andre held han der profilen og eininga seier. Det meste av forvirringa kjem av å tru at ein importert profil og ei kopiert fil er same objektet.

Dei er ikkje to visingar av éin ting. Å redigere den nedlasta fila endrar korkje det NetworkManager lagra eller det eininga les, og kven som helst av dei kan vere den som bygde tunnelen du nettopp testa.

Følg tilkoplinga skrivebordet faktisk brukar

Den dokumenterte importoperasjonen, nmcli connection import type openvpn file office.ovpn, opprettar ei tilkopling gjennom programtillegget. Noter UUID-en og bruk den identifikatoren etterpå, fordi namn blir redigerte og to tilkoplingar kan dele ei etikett. nmcli connection show viser kva som finst, og å lese eigenskapane til tilkoplinga sjølv fortel deg kva fil ho kom frå og kva ho lagrar. Viss UUID-en du redigerer ikkje er den skrivebordet aktiverer, er endringane dine dekorasjon.

Hemmelege bur i lageret til eigaren. Å tøme kvar lagra hemmelegheit for å finne ut kva profil som er aktiv er langsamt og risikabelt; spør tilkoplingsobjektet i staden, og hald privat materiale der eigaren ventar det.

Ei importert tilkopling treng ikkje ei grafisk økt for å køyre, men ho kan framleis trenge ein kjelde for påloggingsinformasjon. Om ho startar utan tilsyn avheng av rettane og hemmelegheitene hennar, ikkje av om skrivebordet er til stades.

Les einingsmalen før du stolar på han

Der pakken leverer klienteininga i upstream-stil, svarar ein instans med namnet office til %i.conf inne i den konfigurerte mappa til eininga, som for 2.6-malen er /etc/openvpn/client. Les den installerte eininga og eventuelle tilleggsfiler før du trur på eit døme frå ein rettleiar, fordi distribusjonar flyttar stigar. Ein manuell start frå ein terminal beviser ingenting om korleis tenesta ser på filer, hemmelegheiter eller rettar. Skrivebordets passorddialog er heller ikkje bevis for at ei ikkje-interaktiv eining har ein godkjend måte å få same passord på.

Gi eininga berre det ho treng. Å lempe på heile sandkassa til tenesta fordi éi referert fil ikkje kan lesast, byter ein liten rettearbeid mot ei stor eksponering, og feilen namngir vanlegvis fila som treng merksemd.

Avvikle duplikatet utan å miste tilgang

Viss begge eigarane kan starte tunnelen, vinn ein av dei til slutt på feil tidspunkt, og rutene og eininga til taparen blir liggande att. Fjern det utilsikta duplikatet gjennom sin eigen eigar, hald ein attopprettingsveg open, og stadfest at den attverande eigaren framleis koplar til etter ein omstart. To medvite åtskilde VPN-ar med ulik rutingspolitikk er eit anna designspørsmål, ikkje løyve til at to startvegar konkurrerer om éi tilkopling.

Skriv så ned livssyklusen du godtok: manuell aktivering, innlogging eller oppstart og attoppkopling. Kontroller endepunktet som er lagra, autentiseringa av motparten og ressursen tunnelen skal nå, fordi å installere skrivebordet på nytt erstattar ikkje kunnskapen om kva konfigurasjon som køyrde.