Um perfil, dois proprietários: NetworkManager ou systemd

Nada acontece com um ficheiro .ovpn até que algo o possua. Num ambiente de trabalho Pi, os proprietários plausíveis são o NetworkManager, que guarda uma ligação importada no seu próprio ficheiro de chaves, e uma unidade de serviço autónoma que lê uma configuração de um diretório. São dois modelos de funcionamento com armazenamento diferente, tratamento diferente das credenciais e regras de ativação diferentes. Escolher um deles deliberadamente é toda a tarefa; copiar o ficheiro para os dois locais só torna a escolha acidental.

Ambos podem funcionar na mesma máquina, mas não no mesmo túnel no mesmo momento, e o conflito parece uma falha de rede e não uma falha de configuração.

Duas formas de possuir o mesmo túnel

O complemento OpenVPN do NetworkManager acrescenta um editor e um serviço que gerem a ligação por si, e instalar o programa OpenVPN não instala essa integração. Uma unidade autónoma é o arranjo inverso: sem editor, sem integração com o ambiente de trabalho, um único ficheiro de configuração e os privilégios que a unidade conceder. A primeira guarda o estado da ligação na sua própria base de dados, a segunda guarda-o onde o perfil e a unidade disserem. A maior parte da confusão vem de supor que um perfil importado e um ficheiro copiado são o mesmo objeto.

Não são duas vistas de uma só coisa. Editar o ficheiro descarregado não muda nem o que o NetworkManager guardou nem o que a unidade lê, e qualquer dos dois pode ser o que construiu o túnel que acabou de testar.

Siga a ligação que o ambiente de trabalho realmente usa

A operação de importação documentada, nmcli connection import type openvpn file office.ovpn, cria uma ligação através do complemento. Anote o UUID e use esse identificador depois, porque os nomes são editados e duas ligações podem partilhar uma etiqueta. nmcli connection show lista o que existe, e ler as propriedades da própria ligação diz-lhe de que ficheiro veio e o que guarda. Se o UUID que está a editar não for o que o ambiente de trabalho ativa, as suas edições são decoração.

Os segredos vivem no armazenamento do proprietário. Despejar todos os segredos guardados para descobrir que perfil está ativo é lento e arriscado; pergunte ao objeto de ligação em vez disso, e mantenha o material privado onde o proprietário o espera.

Uma ligação importada não precisa de uma sessão gráfica para funcionar, mas pode ainda precisar de uma fonte de credenciais. Se arranca sem supervisão depende das suas permissões e segredos, não da presença do ambiente de trabalho.

Leia o modelo da unidade antes de confiar nele

Onde o pacote fornece a unidade de cliente ao estilo upstream, uma instância chamada office corresponde a %i.conf dentro do diretório configurado da unidade, que para o modelo 2.6 é /etc/openvpn/client. Leia a unidade instalada e quaisquer ficheiros adicionais antes de confiar num exemplo de um guia, porque as distribuições mudam caminhos. Um arranque manual a partir de um terminal não prova nada sobre a visão do serviço dos ficheiros, segredos ou permissões. A caixa de diálogo da palavra-passe do ambiente de trabalho também não é prova de que uma unidade não interativa tenha uma forma aprovada de obter a mesma palavra-passe.

Dê à unidade apenas o que ela precisa. Afrouxar toda a sandbox do serviço porque um ficheiro referenciado não é legível troca uma pequena correção de permissões por uma grande exposição, e o erro normalmente nomeia o ficheiro que precisa de atenção.

Retire o duplicado sem perder o acesso

Se ambos os proprietários podem iniciar o túnel, um acabará por ganhar no momento errado e as rotas e o dispositivo do perdedor ficam para trás. Remova o duplicado acidental através do seu próprio proprietário, mantenha um caminho de recuperação aberto e confirme que o proprietário restante ainda liga depois de um reinício. Duas VPN deliberadamente separadas com políticas de encaminhamento diferentes são outra questão de conceção, não uma autorização para dois caminhos de arranque competirem por uma ligação.

Depois anote o ciclo de vida que aceitou: ativação manual, início de sessão, ou arranque e reconexão. Verifique o endpoint guardado, a autenticação da outra parte e o recurso que o túnel deve alcançar, porque reinstalar o ambiente de trabalho não substitui saber que configuração correu.