NM OpenVPN: den lagrede profilen er ikke .ovpn-filen din

Den samme .ovpn filen kobler til fra et skall og går ut på tid etter import til NetworkManager. Den naturlige konklusjonen er at VPN-en er ødelagt. Den mer sannsynlige forklaringen er mindre: NetworkManager beholdt ikke filen, den importerte deler av den til en lagret tilkobling, og den kjørende tunnelen bruker i stedet disse lagrede dataene. Hva filen sier nå, er irrelevant for hva profilen inneholder.

Filen er ikke profilen

Import er en oversettelse, ikke en montering. Alternativene plugin-modulen forstår, blir nøkler i tilkoblingens vpn.data ordbok; alternativer den ikke forstår, blir forkastet eller registrert et annet sted, og den opprinnelige banen er bare en referanse. Å redigere kildefilen etterpå endrer ingenting ved tilkoblingen som allerede er lagret.

Dette gapet forklarer en hel familie av rapporter: den delte nøkkelen ble rotert, filen ble oppdatert, og tunnelen feiler fortsatt. Den lagrede profilen peker fortsatt på den gamle banen eller den gamle verdien, og kommandolinjen fortsetter å virke fordi den leser filen du redigerte. To klienter, to sannhetskilder, og bare én av dem ble oppdatert.

Les den lagrede profilen, ikke dialogen

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Bruk UUID-en når to profiler deler et navn, og bekreft at tjenestetypen er den OpenVPN plugin-modulen du forventer, og ikke en annen VPN-type som tilfeldigvis er installert. Sammenlign deretter endepunktet, transporten og sertifikatreferansene med det fungerende kallet.

En verdi som er synlig i en grafisk editor, er ikke bevis for at den ble lagret. Lagre, åpne på nytt og les den tilbake via kommandolinjen; historiske lagringsfeil er en grunn til å kontrollere de lagrede dataene, ikke et bevis for at hver nåværende bygg har samme feil. Kontrollen koster én kommando.

To nøkler, og en retning som betyr noe

For en tilkobling som bruker TLS-autentisering, lagrer plugin-modulen banen til den delte nøkkelen i ta og retningen i ta-dir, når utrullingen bruker en. Begge bor i profilens dataordbok, og begge må samsvare med det serveren forventer.

Retning er en beslutning på serversiden uttrykt på klienten. Å velge en fordi en naboprofil har den, er måten en fungerende nøkkel begynner å feile et håndtrykk på. Hvis serverkonfigurasjonen er uten retning, bør klienten ikke finne opp en retning.

Selve nøkkelfilen må være lesbar for plugin-modulen i den sammenhengen den faktisk kjører i. En innesluttet pakke har en annen visning av filsystemet enn en vanlig skrivebordsinstallasjon, så en bane som finnes i skallet ditt, kan være usynlig for tjenesten.

Oppdater én oppføring, ikke ordboken

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Det ledende plusse tegnet oppdaterer enkelte ordbokoppføringer. Å tildele vpn.data uten det erstatter hele ordboken, og det er slik én manglende nøkkel blir til fem ødelagte innstillinger. Les profilen tilbake etter endringen og bekreft at de andre oppføringene overlevde. En ordbok som mistet det eksterne endepunktet og sertifikatene sine, er en mye lengre ettermiddag enn den du begynte med.

Koble til på nytt via de vanlige kontrollene og se på trinnet som feiler. Hvis porten for delt nøkkel nå passerer og klienten rapporterer en sertifikat- eller brukerautentiseringsfeil, har du kommet videre, og neste undersøkelse er en annen.

Ikke bland sammen kontrollkanalmodusene

tls-auth, tls-crypt, og tls-crypt-v2 er forskjellige ordninger. En nøkkelfil som ser lik ut, gjør dem ikke utskiftbare, og å fylle ut TLS-Auth-feltene fordi en annen profil inneholder en formatert nøkkel, gir en profil som feiler på en måte som ligner en feil nøkkel.

Bruk plugin-tilordningen som samsvarer med modusen i serverkonfigurasjonen. Når modusen er uklar, spør servereieren i stedet for å gjette ut fra filens første linje.

Behold en gjenopprettingsvei når tunnelen bærer administrasjonsøkten din. En lagret endring er ikke nødvendigvis en anvendt endring, og en vellykket import er ikke bevis for at hvert kildealternativ ble støttet. Begge gapene er verdt å kjenne før du kobler til lenken du arbeider gjennom på nytt.