As definições não importam o .ovpn que a CLI aceita

O mesmo ficheiro liga-se a partir de uma shell e recusa ser importado no painel do ambiente de trabalho. Isso exclui o servidor, as credenciais e a sintaxe do perfil, porque o cliente de linha de comandos já analisou os três. O que resta é o próprio caminho do ambiente de trabalho: os pacotes de que precisa, o subconjunto de diretivas que compreende e o objeto que escreve no disco. Cada um falha de forma diferente, e as mensagens raramente apontam o correto.

Três coisas de que a janela precisa antes de analisar seja o que for

A importação corre com as permissões do seu utilizador, por isso um ficheiro numa pasta acessível apenas a root é rejeitado antes de o conteúdo importar. O painel também só lista tipos de VPN cujo plugin do NetworkManager está instalado; sem o plugin OpenVPN, a opção está ausente em vez de avariada. Por fim, o dispositivo de rede tem de ser gerido: uma interface marcada como não gerida pode aceitar uma ligação guardada que nunca será ativada. Verifique os três antes de editar o perfil.

Dois comandos resolvem a primeira passagem: dpkg -l network-manager-openvpn-gnome para o plugin e nmcli device status para o estado do dispositivo.

O que o importador descarta em silêncio

A tradução para o ambiente de trabalho visa um conjunto fixo de propriedades. As linhas fora desse conjunto são descartadas em silêncio, e é por isso que o túnel pode subir com partes da configuração pretendida em falta. Os scripts declarados com up, down e script-security desaparecem habitualmente, tal como as opções da interface de gestão e os blocos remotos adicionais. Uma rota escrita com a palavra-chave vpn_gateway é a exceção: o importador quer ali um gateway IPv4 literal e aborta com um erro em vez de descartar a linha.

Uma rota descartada tem uma forma reconhecível. A ligação ativa-se, a interface obtém um endereço e uma sub-rede específica fica inalcançável porque a rota nunca chegou ao perfil.

Leia a ligação guardada, não o ficheiro de origem

O resultado autoritativo de uma importação é o ficheiro de chaves, não o .ovpn que selecionou. sudo cat /etc/NetworkManager/system-connections/office.nmconnection mostra o que o painel guardou realmente. Se uma rota estiver lá mas faltar na tabela ativa, a importação foi bem-sucedida e o problema é a ativação. Se faltar no ficheiro, o importador descartou-a e nenhuma quantidade de reconexões a restaurará.

Dois caminhos alternativos evitam a camada de tradução. nmcli connection import type openvpn file ./office.ovpn escreve o mesmo objeto e relata erros que o painel esconde.

O editor mais antigo, iniciado com nm-connection-editor, expõe campos de rota que o painel não tem. Para perfis que dependem de scripts ou de diretivas não suportadas, mantenha o cliente de linha de comandos e supervisione-o com um serviço, depois de desativar a ligação do ambiente de trabalho para que só um componente detenha o túnel.

Quando a importação funciona mas a ativação não

O separador avançado mantém o transporte que foi importado ou escolhido pela última vez. Um servidor à escuta em UDP falha rapidamente quando se escolhe TCP, e a mensagem raramente o diz. Uma ligação que tem de arrancar sem um utilizador com sessão iniciada precisa do segredo guardado para todos os utilizadores, o que é uma definição diferente de o guardar apenas para esta sessão.

Quando não há nada de útil na janela, journalctl -u NetworkManager -b mostra porque falhou a ativação. O cliente shell nunca toca nesse caminho, e é por isso que continua a funcionar enquanto a cópia do ambiente de trabalho não funciona.

Como verificação final, compare a versão do plugin com a versão da distribuição. Um plugin desalinhado pode instalar-se limpidamente e ainda assim recusar ativar um perfil que nmcli importa sem queixa.