Controle cinza do NetworkManager? Verifique a propriedade antes das permissões

Interruptores VPN acinzentados no menu da área de trabalho informam que algo está errado e nada sobre o quê. Isso é uma observação, não um diagnóstico. Três limites diferentes podem produzir o mesmo controle morto: o NetworkManager pode não ser dono do dispositivo, a sessão pode não ter permissão para alterá-lo, ou o plugin do editor de VPN pode não estar instalado. Alterar o limite errado é como um conserto de cinco minutos vira uma tarde reinstalando pacotes.

Três comandos somente leitura separam os casos antes de qualquer alteração.

Faça as três perguntas em ordem

nmcli device status
nmcli general permissions
nmcli connection show

Estes são comandos de inspeção para um sistema que realmente usa o NetworkManager, e são seguros de executar como usuário comum. Mantenha detalhes privados de conexão fora de logs públicos se você colar a saída em algum lugar.

O status do dispositivo responde se a interface é gerenciada e utilizável. A visão de permissões responde o que a sessão chamadora pode fazer. A lista de conexões mostra quais perfis existem; ela não prova que um editor de VPN ou plugin de importação correspondente esteja instalado.

Propriedade e permissão são falhas diferentes

Um dispositivo marcado como não gerenciado está fora do controle do NetworkManager, e nenhuma quantidade de permissão produzirá um botão funcional. O plugin ifupdown é uma causa comum: sua configuração managed decide como as entradas do arquivo interfaces são tratadas, e uma estrofe restante pode manter uma interface sob a ferramenta antiga. A existência do arquivo não é uma instrução para apagar seu conteúdo, e remover entradas que você não escreveu é uma boa maneira de perder a conectividade.

Permissão é um eixo separado. O NetworkManager autoriza chamadores não root pelo PolicyKit, e a resposta relatada pode ser yes, auth ou no. Uma sessão sem agente de autenticação relata auth e então falha silenciosamente na área de trabalho, o que parece um controle quebrado em vez de um agente ausente.

Não conserte nenhum dos dois executando a área de trabalho como root

Executar a sessão inteira como root para fazer um botão funcionar altera o modelo de segurança de cada aplicação na máquina. Também esconde a configuração incorreta subjacente em vez de documentá-la. Se uma ação exige autorização administrativa, esse é o projeto pretendido, e a correção pertence à política ou à forma como o agente é iniciado.

Da mesma forma, não inicie uma segunda cópia do NetworkManager ou um daemon concorrente. Dois gerenciadores discutindo pelo mesmo dispositivo produzem um estado difícil de raciocinar e mais difícil ainda de suportar. Se um segundo daemon parece a única maneira de recuperar um controle, a configuração do primeiro gerenciador é o que deve ser corrigido. Pare o daemon extra antes de mudar qualquer outra coisa, ou o próximo teste mede os dois ao mesmo tempo.

A questão do plugin também é sobre o editor

Criar ou importar uma conexão VPN exige o plugin que fornece esse tipo de conexão, e em uma área de trabalho geralmente exige também uma integração de editor. O pacote do lado do serviço pode estar presente enquanto o formulário do editor está ausente, e é por isso que uma entrada de menu pode existir e ainda falhar. Verifique as duas metades de acordo com o empacotamento da distribuição em vez de supor que um pacote instala tudo.

Um binário de cliente autônomo também não é evidência. Instalar um binário do OpenVPN não dá, por si só, ao editor da área de trabalho um formulário para criar um perfil OpenVPN.

Corrija o limite responsável e depois verifique

Depois de saber qual limite está errado, altere apenas esse. Marcar um dispositivo como gerenciado, conceder uma permissão ou instalar um pacote de editor são três operações diferentes com três perfis de risco diferentes, e misturá-las torna o resultado impossível de atribuir. Se a propriedade precisar mudar, faça isso com acesso por console ou fora de banda disponível, porque um erro ali pode remover a rede que você está usando para consertar.

Depois verifique com a conta real e o perfil real: confirme a rota, a visão de DNS e onde o segredo está armazenado. Botões habilitados são um estado da interface, não prova de que um túnel funciona. Registre o estado do dispositivo, a resposta de permissão e a versão do plugin no chamado, para que a próxima pessoa saiba qual limite realmente mudou.