NM OpenVPN: uložený profil nie je váš súbor .ovpn

Ten istý .ovpn súbor sa pripojí z shellu a po importe do NetworkManager vyprší. Prirodzený záver je, že VPN je pokazená. Pravdepodobnejšie vysvetlenie je menšie: NetworkManager súbor neuchoval, časť z neho importoval do uloženého pripojenia a bežiaci tunel namiesto toho používa tieto uložené údaje. Čo súbor teraz hovorí, je pre obsah profilu nepodstatné.

Súbor nie je profil

Import je preklad, nie pripojenie. Možnosti, ktorým modul rozumie, sa stanú kľúčmi v vpn.data slovníku pripojenia; možnosti, ktorým nerozumie, sa zahodia alebo zaznamenajú inde, a pôvodná cesta je len odkaz. Neskoršia úprava zdrojového súboru nič nemení na už uloženom pripojení.

Táto medzera vysvetľuje celú rodinu hlásení: zdieľaný kľúč sa otočil, súbor sa aktualizoval a tunel stále zlyháva. Uložený profil stále ukazuje na starú cestu alebo starú hodnotu a príkazový riadok ďalej funguje, pretože číta súbor, ktorý ste upravili. Dvaja klienti, dva zdroje pravdy a aktualizovaný bol len jeden z nich.

Čítajte uložený profil, nie dialóg

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Použite UUID, keď dva profily zdieľajú názov, a overte, že typ služby je očakávaný OpenVPN modul, a nie iný typ VPN, ktorý je náhodou nainštalovaný. Potom porovnajte koncový bod, transport a odkazy na certifikáty s funkčným volaním.

Hodnota viditeľná v grafickom editore nie je dôkazom, že bola uložená. Uložte, znova otvorte a prečítajte ju späť cez príkazový riadok; historické chyby ukladania sú dôvodom skontrolovať uložené údaje, nie dôkazom, že každé aktuálne zostavenie má rovnakú chybu. Kontrola stojí jeden príkaz.

Dva kľúče a smer, na ktorom záleží

Pre pripojenie s overovaním TLS modul ukladá cestu k zdieľanému kľúču v ta a smer v ta-dir, keď nasadenie nejaký používa. Oba žijú v slovníku údajov profilu a oba musia zodpovedať tomu, čo server očakáva.

Smer je rozhodnutie na strane servera vyjadrené na klientovi. Vybrať jeden preto, že ho má susedný profil, je spôsob, akým funkčný kľúč začne zlyhávať pri podaní ruky. Ak konfigurácia servera smer nemá, klient by si smer nemal vymýšľať.

Samotný súbor kľúča musí byť pre modul čitateľný v kontexte, v ktorom skutočne beží. Obmedzený balík má iný pohľad na súborový systém ako bežná inštalácia na plochu, takže cesta, ktorá existuje vo vašom shelli, môže byť pre službu neviditeľná.

Aktualizujte jeden záznam, nie slovník

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Úvodné plus aktualizuje jednotlivé záznamy slovníka. Priradenie vpn.data bez neho nahradí celý slovník, a tak sa jeden chýbajúci kľúč zmení na päť pokazených nastavení. Prečítajte profil po zmene znova a potvrďte, že ostatné záznamy prežili. Slovník, ktorý stratil vzdialený koncový bod a certifikáty, je oveľa dlhšie popoludnie než to, s ktorým ste začali.

Pripojte sa znova cez bežné ovládacie prvky a sledujte fázu, ktorá zlyháva. Ak brána zdieľaného kľúča teraz prejde a klient hlási chybu certifikátu alebo overenia používateľa, posunuli ste sa vpred a ďalšie vyšetrovanie je iné.

Nemiešajte režimy riadiaceho kanála

tls-auth, tls-crypt, a tls-crypt-v2 sú rôzne usporiadania. Podobne vyzerajúci súbor kľúča ich nerobí zameniteľnými a vyplnenie polí TLS-Auth preto, že iný profil obsahuje formátovaný kľúč, vytvorí profil, ktorý zlyháva spôsobom pripomínajúcim nesprávny kľúč.

Použite mapovanie modulu, ktoré zodpovedá režimu v konfigurácii servera. Keď je režim nejasný, opýtajte sa vlastníka servera, namiesto hádania z prvého riadku súboru.

Zachovajte si cestu obnovy, keď tunel nesie vašu riadiacu reláciu. Uložená zmena nemusí byť použitá zmena a úspešný import nie je dôkazom, že každá zdrojová možnosť bola podporovaná. Obe tieto medzery stojí za to poznať pred opätovným pripojením spojenia, cez ktoré pracujete.