Jeden profil, dvaja vlastníci: NetworkManager alebo systemd

So súborom .ovpn sa nič nedeje, kým ho niečo nevlastní. Na ploche Pi sú pravdepodobnými vlastníkmi NetworkManager, ktorý ukladá importované pripojenie do vlastného kľúčového súboru, a samostatná služobná jednotka, ktorá číta konfiguráciu z adresára. Sú to dva prevádzkové modely s iným úložiskom, iným zaobchádzaním s prihlasovacími údajmi a inými pravidlami aktivácie. Vedome si vybrať jeden z nich je celá úloha; kopírovanie súboru na obe miesta robí voľbu len náhodnou.

Oba môžu fungovať na jednom stroji, ale nie na tom istom tuneli v tom istom okamihu, a konflikt vyzerá ako sieťová porucha, nie ako konfiguračná.

Dva spôsoby, ako vlastniť ten istý tunel

Zásuvný modul OpenVPN v NetworkManagera pridáva editor a službu, ktoré za vás spravujú pripojenie, a inštalácia programu OpenVPN túto integráciu nenainštaluje. Samostatná jednotka je opačné usporiadanie: žiadny editor, žiadna integrácia s plochou, jeden konfiguračný súbor a tie oprávnenia, ktoré jednotka udelí. Prvý drží stav pripojenia vo vlastnej databáze, druhý ho drží tam, kde hovoria profil a jednotka. Väčšina zmätku pramení z predpokladu, že importovaný profil a skopírovaný súbor sú ten istý objekt.

Nie sú to dva pohľady na jednu vec. Úprava stiahnutého súboru nemení ani to, čo uložil NetworkManager, ani to, čo číta jednotka, a ktorýkoľvek z nich mohol postaviť tunel, ktorý ste práve otestovali.

Sledujte pripojenie, ktoré plocha skutočne používa

Dokumentovaná operácia importu, nmcli connection import type openvpn file office.ovpn, vytvára pripojenie cez zásuvný modul. Poznamenajte si jeho UUID a ten identifikátor potom používajte, pretože názvy sa upravujú a dve pripojenia môžu zdieľať jeden popisok. nmcli connection show vypisuje, čo existuje, a čítanie vlastností samotného pripojenia vám povie, z ktorého súboru pochádza a čo ukladá. Ak UUID, ktoré upravujete, nie je to, ktoré plocha aktivuje, vaše úpravy sú len dekorácia.

Tajomstvá žijú v úložisku vlastníka. Vysypanie každého uloženého tajomstva, aby ste zistili, ktorý profil je aktívny, je pomalé a riskantné; opýtajte sa namiesto toho objektu pripojenia a súkromný materiál držte tam, kde ho vlastník očakáva.

Importované pripojenie nepotrebuje na beh grafickú reláciu, ale stále môže potrebovať zdroj prihlasovacích údajov. Či sa spustí bez dozoru, závisí od jeho oprávnení a tajomstiev, nie od prítomnosti plochy.

Prečítajte si šablónu jednotky, než sa na ňu spoľahnete

Kde balík dodáva klientsku jednotku v štýle upstream, inštancia s názvom office zodpovedá %i.conf v nakonfigurovanom adresári jednotky, ktorý je pre šablónu 2.6 /etc/openvpn/client. Prečítajte si nainštalovanú jednotku a akékoľvek doplnkové súbory, než uveríte príkladu z príručky, pretože distribúcie presúvajú cesty. Ručné spustenie z terminálu nič nedokazuje o tom, ako služba vidí súbory, tajomstvá alebo oprávnenia. Ani dialóg hesla na ploche nie je dôkazom, že neinteraktívna jednotka má schválený spôsob, ako získať to isté heslo.

Dajte jednotke len to, čo potrebuje. Uvoľnenie celého sandboxu služby preto, že jeden odkazovaný súbor je nečitateľný, vymieňa malú opravu oprávnení za veľké vystavenie, a chyba zvyčajne pomenuje súbor, ktorý potrebuje pozornosť.

Odstavte duplikát bez straty prístupu

Ak obaja vlastníci môžu spustiť tunel, jeden nakoniec vyhrá v nesprávnom okamihu a trasy a zariadenie porazeného zostanú pozadu. Odstráňte náhodný duplikát cez jeho vlastného vlastníka, nechajte otvorenú cestu obnovy a potvrďte, že zostávajúci vlastník sa po reštarte stále pripája. Dve vedome oddelené VPN s rôznymi politikami smerovania sú iná otázka návrhu, nie povolenie, aby dve cesty spustenia súťažili o jedno pripojenie.

Potom si zapíšte životný cyklus, ktorý ste prijali: ručná aktivácia, prihlásenie alebo štart a opätovné pripojenie. Skontrolujte uložený koncový bod, overenie druhej strany a prostriedok, ktorý má tunel dosiahnuť, pretože preinštalovanie plochy nenahrádza vedomosť, ktorá konfigurácia bežala.