O Wi-Fi conecta-se sozinho; a VPN precisa de uma associação secundária

O portátil liga-se ao Wi-Fi antes de se sentar, e a VPN continua à espera de um clique. Definir a conexão automática no perfil de VPN não muda nada, porque esse interruptor rege a ativação do próprio perfil e o NetworkManager trata a VPN como acompanhante de uma conexão base. O mecanismo documentado é a lista de conexões secundárias da conexão base, e é uma propriedade diferente num local diferente.

A conexão automática não é o interruptor da VPN

Um perfil de Wi-Fi ou Ethernet pode ativar-se sozinho porque possui um dispositivo. Um perfil de extensão VPN não possui um dispositivo no mesmo sentido; é iniciado ao lado de uma conexão que possui. É por isso que o indicador de conexão automática na VPN parece correto, é guardado corretamente e não produz qualquer túnel. O indicador responde a uma pergunta sobre o perfil, não sobre a rede de que precisa.

Ler o modelo desta forma também explica o modo de falha. A base liga-se, nada pede à VPN para arrancar, e o ambiente de trabalho mostra uma VPN desligada ao lado de uma rede ligada. Nada está avariado; a associação nunca foi feita.

Identifique ambos os perfis por UUID

nmcli -f NAME,UUID,TYPE connection show

Escolha o perfil de Wi-Fi ou Ethernet que deve desencadear o túnel e depois o perfil de VPN pretendido. Use UUID em vez de nomes, porque um nome é uma etiqueta que pode ser duplicada ou editada, e o UUID é o que o caminho de ativação realmente resolve.

Não confunda o nome de um perfil com o nome de uma interface ou um endereço que a máquina tem neste momento. São três identificadores diferentes que por acaso parecem iguais num terminal, e misturá-los produz uma modificação dirigida a nada.

Adicione a VPN à conexão base

nmcli connection modify uuid "PRIMARY_UUID" +connection.secondaries "VPN_UUID"

A forma com sinal de mais acrescenta à lista existente; omiti-la substitui a lista, o que remove silenciosamente qualquer outra conexão secundária já configurada. Inspecione primeiro o valor atual e tome nota antes de alterar seja o que for.

As definições de conexão do NetworkManager descrevem as secundárias como conexões VPN iniciadas juntamente com a conexão base. Se um perfil nativo de WireGuard é o mesmo tipo de objeto depende de como o NetworkManager o gere, pelo que o mesmo comando pode ser a ferramenta errada para um túnel que aparece como interface em vez de extensão VPN.

Isto é uma alteração de política de conexão, não um interruptor em tempo de execução. Aplique-a através de qualquer processo de reconexão que a implementação aprove, e espere que a primeira ativação após a alteração se comporte de forma diferente da sessão em que está agora.

Os segredos não fazem parte da associação

Uma entrada secundária diz «inicia isto com aquilo». Nada nela entrega uma palavra-passe, desbloqueia um porta-chaves ou responde a um pedido. Um perfil que se autentica sem problemas após um início de sessão no ambiente de trabalho ainda pode falhar quando é ativado num contexto em que o agente de segredos não está disponível.

Use o arranjo de sistema ou de agente de segredos suportado para a implementação real. Guardar a palavra-passe de todos num script para que o túnel possa arrancar sem supervisão transforma um desenho de autenticação num ficheiro que sobrevive ao emprego do seu dono.

Leia ambos os eventos e depois verifique o recurso

Observe a conexão base e a ativação da VPN durante uma tentativa. Um evento VPN ausente significa que o acionador nunca foi configurado ou que o UUID está errado. Um evento VPN seguido de uma falha de autenticação significa que o acionador correu e o problema restante são as credenciais, o que é outra correção.

Após a ativação, peça o recurso que motivou a configuração em vez de confiar no ícone. Depois desligue deliberadamente e observe o que acontece a seguir, porque uma associação de arranque automático não é um interruptor de segurança e não promete tentativas infinitas. Se o requisito é «nenhum tráfego sem o túnel», isso é uma política separada que precisa da sua própria configuração e do seu próprio teste. Confundir as duas é a forma como uma máquina acaba a reconectar-se em ciclo enquanto o utilizador julga estar protegido.