Keyfile ou Netplan: onde o perfil VPN é realmente guardado?

Encontrar o ficheiro que importou é a parte fácil e, muitas vezes, o começo errado. O que importa é que ficheiro o NetworkManager lê hoje como a ligação guardada, e isso depende de um identificador de ligação e do backend de configuração que os pacotes instalados realmente usam. Editar a importação antes de responder a essa pergunta é como um VPN funcional se transforma em duas configurações meio corretas.

O ficheiro importado não é o perfil guardado

Três nomes flutuam à volta de cada problema de VPN: o nome da ligação, o nome do ficheiro que importou e a interface virtual que aparece quando o túnel sobe. Nenhum deles identifica a configuração guardada, e o nome de uma ligação pode ser editado enquanto o ficheiro por trás mantém o seu identificador original.

Comece com um inventário só de leitura e escolha o VPN pretendido por identificador em vez de etiqueta:

nmcli -f NAME,UUID,TYPE connection show

Deixe os nomes de anfitrião dos extremos e as etiquetas de identidade fora de qualquer inventário que cole num ticket. A parte útil é o tipo e o identificador; o resto é contexto de que um desconhecido não precisa. Redija o resto antes de partilhar e diga que o fez, para que ninguém se pergunte o que significam os espaços em branco.

As localizações do keyfile não significam o mesmo

Com o plugin keyfile nativo, os ficheiros de ligação podem aparecer em três diretórios, e a diferença entre eles é a persistência, não a conveniência.

Editar a cópia de execução parece bem-sucedido até ao arranque seguinte, quando a alteração se evapora e o ficheiro parece misteriosamente revertido. Editar a cópia fornecida pelo pacote funciona até uma atualização a substituir, o que é uma versão mais lenta e confusa da mesma lição.

A documentação do keyfile acrescenta um detalhe que merece respeito: esses ficheiros podem conter chaves privadas e frases-passe, e o NetworkManager ignora qualquer keyfile que utilizadores que não sejam root possam ler ou escrever. Alargar as permissões do diretório para procurar uma definição quebra o comportamento de carregamento que estava a tentar inspecionar.

Quando o Netplan é dono da persistência

No Ubuntu, a integração do NetworkManager descrita na documentação do Netplan, disponível a partir de 23.10, muda o local onde vive a cópia duradoura. Para ligações não temporárias escreve /etc/netplan/90-NM-<connection UUID>.yaml e gera um perfil NetworkManager efémero em /run/NetworkManager/system-connections/.

Isso é uma integração de distribuição, não uma regra para todas as instalações do NetworkManager. Confirme que os pacotes instalados a usam realmente antes de ir procurar um ficheiro YAML. Lembre-se também de que um perfil de execução pode ser uma representação gerada de outra coisa em vez da fonte que vale a pena editar. Dois comandos de verificação poupam uma hora a editar o ficheiro errado.

O exemplo documentado guarda uma ligação OpenVPN através do tipo Netplan nm-devices com dados de passagem do NetworkManager. O facto de o Netplan não ter uma interpretação dedicada de um determinado campo VPN não significa que o seu VPN guardado se perdeu; significa que o campo viaja como dados opacos.

As interfaces transitórias não são perfis

A ativação cria ligações e interfaces virtuais temporárias que nunca deveriam persistir. A integração deliberadamente não escreve um novo ficheiro YAML para cada uma, pelo que a sua ausência em /etc/netplan não diz nada sobre se o perfil pai está guardado.

Se anda à caça de um ficheiro que aparece e desaparece, provavelmente está a olhar para um destes e não para a sua configuração. Verifique se sobrevive a um reinício antes de tirar qualquer conclusão do seu conteúdo. Um ficheiro de execução que desaparece no reinício diz-lhe que nunca foi a fonte, e essa única observação reorienta toda a investigação. Também explica porque é que uma edição pareceu bem-sucedida na altura.

Segredos e propriedade

Um perfil pode referenciar um certificado ou chave guardados noutro local, e uma palavra-passe pode pertencer ao NetworkManager, ser fornecida por um agente secreto da sessão de utilizador, ou não ser guardada deliberadamente. Localizar um único ficheiro resolve, portanto, muito pouco sobre o que um arranque sem supervisão exigirá.

Inspecione as referências e os indicadores de segredos sem imprimir valores secretos. Um início de sessão no ambiente de trabalho pode tornar disponível um agente que faltava durante o arranque, e copiar um ficheiro de execução gerado não reproduz esse agente. O sintoma prático é um túnel que liga quando uma pessoa inicia sessão e falha quando a máquina arranca sozinha. Esse padrão aponta para a propriedade dos segredos, não para o encaminhamento.

Faça as alterações aprovadas através do gestor que possui a ligação e, depois, verifique tanto o identificador guardado como a ligação efetiva. Mantenha um único proprietário persistente, porque editar a importação, um keyfile gerado e uma fonte YAML separadamente deixa três explicações concorrentes sobre o que a próxima reconexão usará. Escolha a que persiste realmente, edite apenas essa e registe no ticket que ficheiro tratou como autoritativo. A próxima pessoa agradecerá uma linha de proveniência.