NM OpenVPN: sačuvani profil nije vaša .ovpn datoteka

Ista .ovpn datoteka se povezuje iz ljuske i istekne nakon uvoza u NetworkManager. Prirodan zaključak je da je VPN pokvaren. Vjerovatnije objašnjenje je manje: NetworkManager nije zadržao datoteku, uvezao je dio nje u sačuvanu vezu, a aktivni tunel umjesto toga koristi te sačuvane podatke. Šta god datoteka sada govori, nevažno je za ono što profil sadrži.

Datoteka nije profil

Uvoz je prijevod, a ne montiranje. Opcije koje dodatak razumije postaju ključevi u vpn.data rječniku veze; opcije koje ne razumije odbacuju se ili bilježe negdje drugdje, a originalna putanja je samo referenca. Naknadno uređivanje izvorne datoteke ne mijenja ništa na vezi koja je već sačuvana.

Taj jaz objašnjava čitavu porodicu izvještaja: zajednički ključ je rotiran, datoteka je ažurirana, a tunel i dalje ne radi. Sačuvani profil i dalje pokazuje na staru putanju ili staru vrijednost, a komandna linija nastavlja raditi jer čita datoteku koju ste uredili. Dva klijenta, dva izvora istine, a ažuriran je samo jedan od njih.

Čitajte sačuvani profil, a ne dijalog

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Koristite UUID kada dva profila dijele ime i provjerite da je tip usluge OpenVPN dodatak koji očekujete, a ne drugi tip VPN-a koji je slučajno instaliran. Zatim uporedite krajnju tačku, transport i reference certifikata s radnim pozivom.

Vrijednost vidljiva u grafičkom uređivaču nije dokaz da je sačuvana. Sačuvajte, ponovo otvorite i pročitajte je natrag kroz komandnu liniju; istorijski defekti čuvanja razlog su da provjerite sačuvane podatke, a ne dokaz da svaka trenutna verzija ima istu grešku. Provjera košta jednu komandu.

Dva ključa i smjer koji je bitan

Za vezu koja koristi TLS autentifikaciju, dodatak čuva putanju zajedničkog ključa u ta i smjer u ta-dir kada implementacija koristi smjer. Oba žive u rječniku podataka profila i oba se moraju podudarati s onim što server očekuje.

Smjer je odluka na strani servera izražena na klijentu. Odabir smjera zato što ga susjedni profil ima način je na koji radni ključ počne padati na rukovanju. Ako konfiguracija servera nema smjer, klijent ne treba izmišljati smjer.

Sama datoteka ključa mora biti čitljiva dodatku u kontekstu u kojem se stvarno izvršava. Ograničeni paket ima drugačiji pogled na datotečni sistem od obične desktop instalacije, pa putanja koja postoji u vašoj ljusci može biti nevidljiva usluzi.

Ažurirajte jedan unos, a ne rječnik

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Vodeći plus ažurira pojedinačne unose rječnika. Dodjela vpn.data bez njega zamjenjuje cijeli rječnik i tako jedan ključ koji nedostaje postaje pet pokvarenih postavki. Pročitajte profil natrag nakon promjene i potvrdite da su ostali unosi preživjeli. Rječnik koji je izgubio udaljenu krajnju tačku i certifikate mnogo je duže poslijepodne od onoga s kojim ste počeli.

Ponovo se povežite kroz uobičajene kontrole i gledajte fazu koja pada. Ako zajednička ključna kapija sada prolazi i klijent prijavi grešku certifikata ili autentifikacije korisnika, napredovali ste i sljedeća istraga je drugačija.

Ne miješajte načine kontrolnog kanala

tls-auth, tls-crypt, i tls-crypt-v2 su različiti aranžmani. Datoteka ključa koja izgleda slično ne čini ih zamjenjivima, a popunjavanje TLS-Auth polja zato što drugi profil sadrži formatirani ključ stvara profil koji pada na način koji liči na pogrešan ključ.

Koristite mapiranje dodatka koje odgovara načinu u konfiguraciji servera. Kada je način nejasan, pitajte vlasnika servera umjesto da nagađate iz prvog reda datoteke.

Zadržite put oporavka kada tunel nosi vašu upravljačku sesiju. Sačuvana promjena nije nužno primijenjena promjena, a uspješan uvoz nije dokaz da je svaka izvorna opcija bila podržana. Oba ta jaza vrijedi znati prije nego ponovo povežete vezu kroz koju radite.