En profil, dva lastnika: NetworkManager ali systemd

Z datoteko .ovpn se nič ne zgodi, dokler je nekaj ne poseduje. Na namizju Pi so verjetni lastniki NetworkManager, ki uvoženo povezavo shranjuje v svoji lastni ključni datoteki, in samostojna servisna enota, ki bere konfiguracijo iz mape. To sta dva modela delovanja z različnim shranjevanjem, različnim ravnanjem s poverilnicami in različnimi pravili aktiviranja. Namerno izbrati enega od njiju je vsa naloga; kopiranje datoteke na obe mesti naredi izbiro le naključno.

Oba lahko delujeta na istem stroju, vendar ne na istem tunelu v istem trenutku, in konflikt je videti kot omrežna okvara, ne kot konfiguracijska.

Dva načina, kako imeti isti tunel

Vtičnik OpenVPN v NetworkManagerju doda urejevalnik in storitev, ki upravljata povezavo namesto vas, namestitev programa OpenVPN pa te integracije ne namesti. Samostojna enota je obratna ureditev: brez urejevalnika, brez integracije z namizjem, ena konfiguracijska datoteka in pravice, ki jih enota podeli. Prvi hrani stanje povezave v svoji podatkovni bazi, drugi ga hrani tam, kjer pravita profil in enota. Večina zmede izhaja iz predpostavke, da sta uvožen profil in kopirana datoteka isti objekt.

Nista dva pogleda na eno stvar. Urejanje prenesene datoteke ne spremeni ne tega, kar je shranil NetworkManager, ne tega, kar bere enota, in kateri koli od njiju je lahko tisti, ki je zgradil tunel, ki ste ga pravkar preizkusili.

Sledite povezavi, ki jo namizje resnično uporablja

Dokumentirana operacija uvoza, nmcli connection import type openvpn file office.ovpn, ustvari povezavo prek vtičnika. Zapišite njen UUID in ta identifikator uporabite naprej, ker se imena urejajo in dve povezavi si lahko delita eno oznako. nmcli connection show našteje, kaj obstaja, in branje lastnosti same povezave vam pove, iz katere datoteke je prišla in kaj shranjuje. Če UUID, ki ga urejate, ni tisti, ki ga namizje aktivira, so vaše spremembe le dekoracija.

Skrivnosti živijo v shrambi lastnika. Izlivanje vsake shranjene skrivnosti, da bi ugotovili, kateri profil je aktiven, je počasno in tvegano; vprašajte raje objekt povezave in zasebno gradivo hranite tam, kjer ga lastnik pričakuje.

Uvožena povezava za delovanje ne potrebuje grafične seje, lahko pa še vedno potrebuje vir poverilnic. Ali se zažene brez nadzora, je odvisno od njenih dovoljenj in skrivnosti, ne od prisotnosti namizja.

Preberite predlogo enote, preden se nanjo zanesete

Kjer paket prinaša odjemalsko enoto v slogu upstream, instanca z imenom office ustreza %i.conf v konfigurirani mapi enote, ki je za predlogo 2.6 /etc/openvpn/client. Preberite nameščeno enoto in morebitne dodatne datoteke, preden zaupate zgledu iz vodnika, ker distribucije premikajo poti. Ročni zagon iz terminala ne dokaže ničesar o tem, kako storitev vidi datoteke, skrivnosti ali dovoljenja. Tudi pogovorno okno za geslo na namizju ni dokaz, da ima neinteraktivna enota odobren način za pridobitev istega gesla.

Dajte enoti samo tisto, kar potrebuje. Popuščanje celotnega peskovnika storitve, ker ena navedena datoteka ni berljiva, zamenja majhen popravek dovoljenj za veliko izpostavljenost, in napaka običajno imenuje datoteko, ki potrebuje pozornost.

Umaknite dvojnik, ne da bi izgubili dostop

Če lahko oba lastnika zaženeta tunel, eden nazadnje zmaga ob napačnem trenutku, poti in naprava poraženca pa ostaneta zadaj. Odstranite nenamerni dvojnik prek njegovega lastnega lastnika, pustite pot za obnovitev odprto in potrdite, da se preostali lastnik po ponovnem zagonu še vedno poveže. Dve namerno ločeni VPN z različnimi usmerjevalnimi pravilniki sta drugo načrtovalsko vprašanje, ne dovoljenje, da bi dve zagonski poti tekmovali za eno povezavo.

Nato zapišite življenjski cikel, ki ste ga sprejeli: ročno aktiviranje, prijava ali zagon in ponovna povezava. Preverite shranjeno končno točko, preverjanje pristnosti druge strani in vir, ki naj bi ga tunel dosegel, ker ponovna namestitev namizja ne nadomesti vedenja, katera konfiguracija je delovala.