Un profil, doi proprietari: NetworkManager sau systemd

Nu se întâmplă nimic cu un fișier .ovpn până când ceva îl deține. Pe un desktop Pi, proprietarii plauzibili sunt NetworkManager, care stochează o conexiune importată în propriul fișier de chei, și o unitate de serviciu autonomă care citește o configurație dintr-un director. Sunt două modele de operare cu stocare diferită, tratare diferită a acreditărilor și reguli de activare diferite. Alegerea deliberată a unuia dintre ele este întreaga sarcină; copierea fișierului în ambele locuri face alegerea doar accidentală.

Ambele pot funcționa pe aceeași mașină, dar nu pe același tunel în același moment, iar conflictul arată ca o defecțiune de rețea, nu ca una de configurare.

Două moduri de a deține același tunel

Pluginul OpenVPN al NetworkManager adaugă un editor și un serviciu care administrează conexiunea în locul dumneavoastră, iar instalarea programului OpenVPN nu instalează acea integrare. O unitate autonomă este aranjamentul invers: fără editor, fără integrare cu desktopul, un singur fișier de configurare și privilegiile pe care le acordă unitatea. Prima păstrează starea conexiunii în propria bază de date, a doua o păstrează acolo unde spun profilul și unitatea. Cea mai mare parte a confuziei vine din presupunerea că un profil importat și un fișier copiat sunt același obiect.

Nu sunt două vederi ale unui singur lucru. Editarea fișierului descărcat nu schimbă nici ce a salvat NetworkManager, nici ce citește unitatea, iar oricare dintre ele poate fi cel care a construit tunelul pe care tocmai l-ați testat.

Urmați conexiunea pe care desktopul o folosește cu adevărat

Operațiunea de import documentată, nmcli connection import type openvpn file office.ovpn, creează o conexiune prin plugin. Notați UUID-ul și folosiți acel identificator mai departe, pentru că numele se editează și două conexiuni pot împărtăși o etichetă. nmcli connection show listează ce există, iar citirea proprietăților conexiunii înseși vă spune din ce fișier a venit și ce stochează. Dacă UUID-ul pe care îl editați nu este cel pe care desktopul îl activează, modificările dumneavoastră sunt decor.

Secretele trăiesc în depozitul proprietarului. Vărsarea fiecărui secret salvat pentru a afla ce profil este activ este lentă și riscantă; întrebați obiectul conexiunii în schimb și păstrați materialul privat acolo unde proprietarul îl așteaptă.

O conexiune importată nu are nevoie de o sesiune grafică pentru a rula, dar poate avea în continuare nevoie de o sursă de acreditări. Dacă pornește nesupravegheat depinde de permisiunile și secretele ei, nu de prezența desktopului.

Citiți șablonul unității înainte de a vă baza pe el

Acolo unde pachetul livrează unitatea client în stil upstream, o instanță numită office corespunde fișierului %i.conf din directorul configurat al unității, care pentru șablonul 2.6 este /etc/openvpn/client. Citiți unitatea instalată și orice fișiere suplimentare înainte de a avea încredere într-un exemplu dintr-un ghid, pentru că distribuțiile mută căile. O lansare manuală dintr-un terminal nu dovedește nimic despre felul în care serviciul vede fișierele, secretele sau permisiunile. Nici dialogul de parolă al desktopului nu este dovada că o unitate neinteractivă are o cale aprobată de a obține aceeași parolă.

Dați unității doar ce are nevoie. Relaxarea întregului sandbox al serviciului pentru că un fișier referit nu poate fi citit schimbă o corecție mică de permisiuni pe o expunere mare, iar eroarea numește de obicei fișierul care are nevoie de atenție.

Retrageți duplicatul fără a pierde accesul

Dacă ambii proprietari pot porni tunelul, unul câștigă în cele din urmă în momentul nepotrivit, iar rutele și dispozitivul învinsului rămân în urmă. Eliminați duplicatul accidental prin propriul său proprietar, lăsați deschisă o cale de recuperare și confirmați că proprietarul rămas se conectează în continuare după o repornire. Două VPN-uri deliberat separate cu politici de rutare diferite sunt o altă întrebare de proiectare, nu o permisiune pentru două căi de lansare să concureze pentru o singură conexiune.

Apoi notați ciclul de viață pe care l-ați acceptat: activare manuală, autentificare, sau pornire și reconectare. Verificați punctul final salvat, autentificarea celeilalte părți și resursa pe care tunelul trebuie să o atingă, pentru că reinstalarea desktopului nu înlocuiește știința configurării care a rulat.