Dlaczego edytor VPN nie zapisuje nowego profilu

Przycisk Zapisz pozostaje szary, choć każde pole wygląda na wypełnione, a brama nie widziała jeszcze ani jednego pakietu. Nic nie zostało odrzucone, bo nic nie zostało wysłane. Kontrolka odzwierciedla to, co lokalny edytor może zweryfikować w profilu przed sobą. To węższe pytanie niż to, czy konto działa, i odpowiada się na nie bez sieci.

Przycisk odzwierciedla lokalną walidację

Nieaktywna kontrolka ma więcej niż jedną lokalną przyczynę i z zewnątrz wszystkie wyglądają identycznie. Może brakować wymaganego odwołania, wskazany plik może być nieczytelny dla użytkownika uruchamiającego edytor albo wtyczka obsługująca wybraną metodę może w ogóle nie być zainstalowana. Problemy z uprawnieniami samego profilu dają ten sam szary przycisk co puste pole.

Przeczytaj komunikat walidacji, zanim cokolwiek zmienisz, ponieważ komunikat nazywa pole, któremu edytor się sprzeciwia. Zgadywanie formularza jest wolniejsze niż przeczytanie tego jednego zdania, które edytor już napisał.

Dopasuj pola do wybranej metody

Wymagane dane wejściowe wynikają z metody połączenia, a nie z układu okna dialogowego. Tożsamość certyfikatu wymaga certyfikatu klienta i dostępu do pasującego klucza prywatnego, a także sposobu weryfikacji serwera. Metoda oparta na koncie ma inne wymagania i również wymaga weryfikacji serwera. Niektóre wdrożenia wymagają obu naraz, dlatego formularz, który wydaje się zbędny, jest często poprawny.

Używaj obsługiwanego profilu i instrukcji rejestracji operatora zamiast składać pola po omacku. Umieszczenie certyfikatu klienta w polu CA, traktowanie certyfikatu publicznego jako klucza prywatnego lub wpisanie hasła konta w polu hasła klucza prywatnego to częste błędy i wszystkie dają tę samą cichą odmowę zapisu.

Sprawdź każde odwołanie jako obiekt, którym ma być. Nazwa pliku z właściwym rozszerzeniem niczego nie dowodzi: ani czytelności, ani własności, ani przynależności do tej tożsamości. Klucz prywatny czytelny tylko dla roota nie wczyta się w sesji pulpitu, a edytor zgłasza to jako błąd walidacji, a nie jako błąd uprawnień.

Zmiana metody wyłącznie po to, by przycisk stał się klikalny, zmienia znaczenie profilu. Wpisywanie bezsensownych haseł i cofanie tego może zostawić zapisane wartości, których nikt nie chciał. Ukrywa też wymóg, którego naprawdę brakowało, a który wraca jako błąd połączenia godzinę później.

Oddziel zapisane sekrety od sekretów agenta

Niektóre informacje należą do zapisanego profilu, a inne poświadczenie może być podane interaktywnie przy aktywacji. Interfejs połączeń NetworkManagera utrzymuje weryfikację połączenia, weryfikację sekretów i wykrywanie sekretów jako osobne operacje, a jego własna dokumentacja ostrzega, że wskazówki nie zawsze potrafią określić wszystko, czego potrzebuje połączenie.

Ta różnica wyjaśnia puste pole hasła. Może być poprawne, bo agent sekretów dostarczy wartość, i może być błędne, bo to połączenie nie ma dostępnego agenta. Flagi przypisane do sekretu decydują, czy należy do systemu, do agenta, czy nie jest zapisywany wcale.

Wybierz flagę pasującą do cyklu życia. Pęk kluczy pulpitu odblokowywany po zalogowaniu nie jest dostępny dla usługi startującej przed logowaniem, więc profil działający interaktywnie może zawieść przy rozruchu bez żadnej zmiany w profilu. Ta awaria wygląda na zepsuty profil, a w rzeczywistości jest niezgodnością harmonogramu.

Udany zapis nie jest też dowodem, że zamierzony agent odpowie na kolejne żądanie. Zachowaj własność konta i klucza prywatnego, zamiast kopiować każdy sekret do pliku czytelnego dla systemu tylko po to, by uciszyć okno.

Czytaj późniejsze etapy osobno

Gdy profil się zapisze, sprawdź jego identyfikator, punkt końcowy, wtyczkę i metodę, nie pytając o wartości sekretów. Import dostarczony przez operatora może pomóc, ale import jest własnym parserem z własnymi obsługiwanymi funkcjami, więc odrzucony import to nie ta sama awaria co odrzucony zapis.

Dopiero wtedy aktywuj przez zamierzonego menedżera i konto, którego on oczekuje. Błąd tożsamości serwera, odrzucone konto, brakująca trasa i odmowa uprawnienia aplikacji należą do późniejszych etapów, a zgłaszanie ich jako problemu edytora kieruje dochodzenie w złe miejsce.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Corp VPN" | grep -E "vpn\.|802-1x"

Jeśli Zapisz pozostaje nieaktywny przy udokumentowanych danych, zapisz wersję edytora, wersję wtyczki, wybraną metodę i dokładny lokalny błąd. Raport nazywający prawidłowy profil, którego edytor nie potrafi przedstawić, jest przydatny; ciąg przypadkowych poświadczeń, który na chwilę uczynił przycisk klikalnym, nie jest.