NM OpenVPN: den lagra profilen er ikkje .ovpn-fila di

Den same .ovpn fila koplar til frå eit skal og går ut på tid etter import til NetworkManager. Den naturlege konklusjonen er at VPN-en er øydelagd. Den meir sannsynlege forklaringa er mindre: NetworkManager heldt ikkje på fila, det importerte ein del av ho til ei lagra tilkopling, og den køyrande tunnelen brukar i staden desse lagra dataa. Kva fila seier no, er irrelevant for kva profilen inneheld.

Fila er ikkje profilen

Import er ei omsetjing, ikkje ei montering. Alternativa programtillegget forstår, vert nøklar i vpn.data ordboka til tilkoplinga; alternativ det ikkje forstår, vert kasta eller registrerte ein annan stad, og den opphavlege stien er berre ei tilvising. Å redigera kjeldefila etterpå endrar ingenting ved tilkoplinga som alt er lagra.

Dette gapet forklarer ei heil familie av rapportar: den delte nøkkelen vart rotert, fila vart oppdatert, og tunnelen feilar framleis. Den lagra profilen peikar framleis på den gamle stien eller den gamle verdien, og kommandolinja held fram med å virka fordi ho les fila du redigerte. To klientar, to sanningkjelder, og berre éin av dei vart oppdatert.

Les den lagra profilen, ikkje dialogen

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Bruk UUID-en når to profilar deler eit namn, og stadfest at tenestetypen er den OpenVPN programtillegget du ventar, og ikkje ein annan VPN-type som tilfeldigvis er installert. Samanlikn deretter endepunktet, transporten og sertifikatreferansane med det fungerande kallet.

Ein verdi som er synleg i ein grafisk editor, er ikkje prov på at han vart lagra. Lagra, opne på nytt og les han tilbake via kommandolinja; historiske lagringsfeil er ein grunn til å kontrollera dei lagra dataa, ikkje eit prov på at kvar noverande bygg har same feilen. Kontrollen kostar éin kommando.

To nøklar, og ei retning som betyr noko

For ei tilkopling som brukar TLS-autentisering, lagrar programtillegget stien til den delte nøkkelen i ta og retninga i ta-dir, når utrullinga brukar éi. Begge bur i dataordboka til profilen, og begge må samsvara med det serveren ventar.

Retning er ei avgjerd på serversida uttrykt på klienten. Å velja éi fordi ein naboprofil har ho, er måten ein fungerande nøkkel byrjar å feila eit handtrykk på. Viss serverkonfigurasjonen er utan retning, bør klienten ikkje finna opp ei retning.

Sjølve nøkkelfila må vera lesbar for programtillegget i den samanhengen ho faktisk køyrer i. Ein inneslutta pakke har eit anna syn på filsystemet enn ein vanleg skrivebordsinstallasjon, så ein sti som finst i skalet ditt, kan vera usynleg for tenesta.

Oppdater éi oppføring, ikkje ordboka

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Det leiande plussteiknet oppdaterer enkelte ordbokoppføringar. Å tildele vpn.data utan det erstattar heile ordboka, og slik vert éin manglande nøkkel til fem øydelagde innstillingar. Les profilen tilbake etter endringa og stadfest at dei andre oppføringane overlevde. Ei ordbok som mista det eksterne endepunktet og sertifikata sine, er ein mykje lengre ettermiddag enn den du byrja med.

Kopla til på nytt via dei vanlege kontrollane og sjå på trinnet som feilar. Viss porten for delt nøkkel no passerer og klienten rapporterer ein sertifikat- eller brukarautentiseringsfeil, har du kome vidare, og neste undersøking er ei anna.

Ikkje blande saman kontrollkanalmodusane

tls-auth, tls-crypt, og tls-crypt-v2 er ulike ordningar. Ei nøkkelfil som ser lik ut, gjer dei ikkje utskiftbare, og å fylla ut TLS-Auth-felta fordi ein annan profil inneheld ein formatert nøkkel, gir ein profil som feilar på ein måte som liknar ein feil nøkkel.

Bruk programtilleggstilordninga som samsvarar med modusen i serverkonfigurasjonen. Når modusen er uklar, spør servereigaren i staden for å gjetta ut frå fyrste linje i fila.

Hald ein gjenopprettingsveg når tunnelen ber administrasjonsøkta di. Ei lagra endring er ikkje nødvendigvis ei brukt endring, og ein vellukka import er ikkje prov på at kvart kjeldealternativ vart støtta. Begge gapa er verd å kjenna før du koplar til lenkja du arbeider gjennom på nytt.