Brak OpenVPN w menu VPN w Ubuntu 18.04: co trzeba zainstalować

Lista VPN w GNOME może nie oferować niczego, co pasuje do przekazanego profilu, a zwykły wniosek jest taki, że ten pulpit nie potrafi OpenVPN. A potrafi. Brakuje pakietu wtyczki, a klient wiersza poleceń na tej samej maszynie nie ma nic wspólnego z menu. Ten mit trzeba zabić najpierw, bo wysyła ludzi do reinstalacji niewłaściwej rzeczy.

Menu wymienia wtyczki, a nie protokoły

GNOME rysuje typy połączeń zgłaszane przez menedżera sieci, a menedżer zgłasza zainstalowane wtyczki. Pusta lista opisuje więc zestaw zainstalowanych wtyczek, a nie możliwości protokołu. Dlatego działający plik binarny openvpn nic nie zmienia w panelu.

To rozróżnienie ma znaczenie, bo z panelu obie awarie wyglądają identycznie. Brakująca wtyczka i zepsuta wtyczka dają okno, które nie może pomóc, i tylko pierwsza naprawia się przez zainstalowanie czegoś. Pytanie menedżera, co wie, rozdziela oba przypadki, zanim cokolwiek zainstalujesz. To pytanie kosztuje jedno polecenie i zastępuje godzinę zgadywania.

Do którego pakietu należy okno

W Ubuntu 18.04 pakiety mają konkretne nazwy, a nowsze wydania zachowały ten sam podział. Czytaj je jako role, a nie alternatywy, bo zainstalowanie jednego rzadko rozwiązuje problem samodzielnie. Jeden pakiet zawiera demona i klienta wiersza poleceń, a żaden z nich nie zna żadnego okna ustawień.

Pakiet wtyczki pozwala menedżerowi sieci tworzyć, przechowywać i uruchamiać połączenie OpenVPN. Pakiet edytora dostarcza formularz, jego pola i ścieżkę zapisu, którą wywołuje panel. Maszyna z wtyczką, ale bez edytora, pokazuje typ, którego nie może skonfigurować, natomiast maszyna z edytorem, ale bez wtyczki, nie pokazuje niczego. Zainstaluj zestaw razem i niejednoznaczność znika.

sudo apt install openvpn network-manager-openvpn network-manager-openvpn-gnome
nmcli --version

W 18.04 to prawdziwe nazwy archiwów, a nie zamienniki. Pulpit KDE wymaga własnego pakietu edytora i nadal wymaga wtyczki, i właśnie tę część pomija poradnik wyłącznie dla GNOME.

Restart jest częścią instalacji

Panel pyta menedżera o obsługiwane typy przy starcie usługi, a lista już wyświetlona nie jest odświeżana przez instalację. Instalacja przy działającej usłudze daje więc frustrujące połączenie udanej instalacji i niezmienionego okna. Restart nie jest opcjonalnym porządkowaniem; to krok, który czyni instalację widoczną.

Restart przerywa łączność na kilka sekund, a każda sesja SSH przez to samo interfejs idzie z nią, więc zaplanuj to, jeśli maszyna jest zdalna. Potem otwórz panel ponownie i zapytaj menedżera wprost, co obsługuje. Bezpośrednie zapytanie jest lepszym dowodem niż menu, które może być w pamięci podręcznej.

sudo systemctl restart NetworkManager
nmcli -f NAME,TYPE connection show
nmcli connection add type vpn

Ostatnie polecenie jest testem rozstrzygającym. Z wtyczką kończy się błędem braku argumentów; bez niej zgłasza nieznany typ VPN. Jeden wynik to formularz czekający na wypełnienie, a drugi to wciąż problem pakowania. Uruchom je przed instalacją i po niej, jeśli chcesz, żeby kontrast był oczywisty.

Pozwól nmcli przeczytać .ovpn

Nic nie zmusza cię do odtwarzania przekazanego profilu kontrolka po kontrolce. Menedżer czyta pliki .ovpn bezpośrednio i zamienia ich dyrektywy w zapisane połączenie, łącznie z osadzonymi certyfikatami. Import wygrywa też z przepisywaniem pod względem dokładności, bo źle wpisany szyfr lub skrócony klucz daje awarię, która wygląda jak problem serwera.

Zostaw profil obok każdego klucza lub certyfikatu, do którego się odwołuje, aż zapis się zakończy, bo połączenie przechowujące tylko ścieżki plików psuje się, gdy te pliki się przenoszą. Potem przetestuj połączenie po nazwie i odpowiedz na każde pytanie o dane logowania na pierwszym planie, żeby zobaczyć, czego chce. Zapisane połączenie, które nigdy nie zostało aktywowane, nie jest dowodem na nic.

nmcli connection import type openvpn file ~/Downloads/office.ovpn
nmcli --ask connection up office
nmcli -f NAME,TYPE,STATE connection show --active

To trzecie polecenie potwierdza, że tunel jest podniesiony pod oczekiwaną nazwą. Oddziela też połączenie nieudane od takiego, które nigdy nie zostało aktywowane.

Czego menu nie może ci powiedzieć

Brak typu nic nie mówi o bramie i nie oznacza, że serwer odrzuca OpenVPN. To nie jest powód, by instalować wtyczkę niepowiązanego protokołu, żeby pojawiła się pozycja menu. Ten drugi błąd ma w praktyce nazwę: ludzie kierują profil PPTP lub AnyConnect na usługę OpenVPN, bo to były oferowane pozycje.

Najpierw napraw pakowanie; pytanie o serwer przychodzi później. Profil, który importuje się czysto i nigdy się nie uwierzytelnia, zawodzi na pytaniu o certyfikat, TLS lub dane logowania, a nie o edytor. Każde z nich zostawia inne dowody, i żaden nie pojawia się w oknie. Przeczytaj log klienta, zanim ponownie otworzysz panel ustawień.

Udowodnij to zasobem, którego naprawdę używasz

Gdy typ istnieje, a połączenie jest zapisane, połącz się i otwórz zasób, którego naprawdę używasz. Sama aktywacja dowodzi tylko, że oba końce zgodziły się co do tunelu. Tunel, który wstaje i nic nie przenosi, to następny tryb awarii, a panel go nie widzi.

Zapisz, który zasób testowałeś, żeby następna osoba powtórzyła tę kontrolę, zamiast zaczynać od nowa. Gdy tunel jest podniesiony, a zasób nadal zawodzi, śledztwo przechodzi do tras i DNS, a nie z powrotem do okna. Ta notatka to różnica między naprawą a opowieścią.