Перенос профиля VPN в NetworkManager на другой компьютер

Две машины могут показывать в меню одно и то же имя VPN и не иметь больше ничего общего. Страница настроек — та часть, которая путешествует хуже всего, потому что реальное содержимое профиля разбросано по файлу ключей, связке ключей, плагину и нескольким абсолютным путям к файлам. Три вопроса решают, следует ли экспортировать, копировать или регистрироваться заново. Задайте их, прежде чем что-либо копировать.

Начните с профиля, который действительно работает

Перечислите подключения и читайте UUID, а не имя. nmcli connection show выводит и то и другое, а UUID — единственное поле, которое отличает рабочую запись от более старого импорта с такой же меткой. Перед началом переименуйте или удалите устаревший дубликат на исходной машине, чтобы то, что вы копируете, было однозначным. Затем запишите плагин и тип подключения, потому что именно они определяют, что вообще означает экспорт. Профиль, который вы не можете точно опознать, — тот, который не стоит переносить.

Этот шаг занимает минуту. Он предотвращает самую частую ошибку — перенос не того профиля и последующую отладку получателя.

Экспорт или копирование файла ключей?

NetworkManager может экспортировать некоторые VPN-профили в файл, когда установленный плагин реализует экспорт, а для OpenVPN результат напоминает автономную конфигурацию. Копирование исходного файла ключей — другой путь: он сохраняет каждую настройку, но ожидает на получателе тот же плагин и разрешённого владельца. Ни один не лучше универсально, и ни один не является резервной копией. Выбирайте, спрашивая, что должно остаться идентичным.

Экспорт подходит для переезда на машину, которая будет запускать тот же плагин, особенно когда нужен один артефакт, который можно проверить. Файл ключей подходит для восстановления на идентичном дистрибутиве, где права и пути можно точно воспроизвести.

На что профиль всё ещё указывает

Профиль не самодостаточен только потому, что он чисто экспортировался. CA, клиентский сертификат, закрытый ключ и любой дополнительный материал TLS обычно являются отдельными файлами, на которые ссылаются путём, и эти пути существуют на машине, которую вы покидаете. Перечислите каждый указанный файл, прежде чем что-либо передавать.

Затем решите, стоит ли вообще использовать те же учётные данные. Файл с тем же именем на другой машине — не та же личность, а некоторые развёртывания ожидают вместо этого новую регистрацию.

Секреты не в файле

Пароли и парольные фразы могут храниться в файле ключей, в связке ключей пользователя или нигде, потому что пользователя спрашивают каждый раз. Только первый из этих вариантов путешествует с копией файла.

Проверьте флаги пароля в исходном профиле, прежде чем предполагать, что перенос не потребует внимания. Профиль, настроенный спрашивать или хранить секрет у агента сеанса, прибывает на новую машину без учётных данных и с попыткой подключения, которая терпит неудачу без объяснения причины. Воспроизведите там утверждённый рабочий процесс с секретами вместо того, чтобы экспортировать пароль открытым текстом в файл для упрощения переноса. Этот короткий путь превращает миграцию в раскрытие.

Корректно выведите старую копию из эксплуатации

Примите новую конфигурацию, используя предназначенное приложение через неё, и до тех пор держите старый путь доступным. Импортируйте, прочитайте обратно конечную точку, аутентификацию, маршруты и DNS, затем подключитесь и подтвердите частный ресурс. Импорт, который даёт зелёный значок, не является приёмкой.

Удаление локального профиля ничего не отзывает. Сертификат и учётные данные остаются действительными, пока оператор их не отзовёт, поэтому вывод из эксплуатации — отдельный запрос тому, кто их выдал. Удалите старые файлы, удалите запись в связке ключей и запишите, какая личность была отозвана и когда. Если старую машину передают дальше, эта запись важнее удаления.