NM OpenVPN: shranjeni profil ni vaša datoteka .ovpn

Ista .ovpn datoteka se poveže iz lupine in po uvozu v NetworkManager poteče. Naravni sklep je, da je VPN pokvarjen. Verjetnejša razlaga je manjša: NetworkManager datoteke ni obdržal, del nje je uvozil v shranjeno povezavo, delujoči tunel pa namesto tega uporablja te shranjene podatke. Kar datoteka zdaj pravi, ni pomembno za to, kar vsebuje profil.

Datoteka ni profil

Uvoz je prevod, ne priklop. Možnosti, ki jih vtičnik razume, postanejo ključi v vpn.data slovarju povezave; možnosti, ki jih ne razume, se zavržejo ali zabeležijo drugje, izvirna pot pa je le sklic. Poznejše urejanje izvorne datoteke ne spremeni ničesar pri že shranjeni povezavi.

Ta vrzel pojasnjuje celo družino poročil: skupni ključ je bil zasukan, datoteka posodobljena, tunel pa še vedno odpove. Shranjeni profil še vedno kaže na staro pot ali staro vrednost, ukazna vrstica pa še vedno deluje, ker bere datoteko, ki ste jo uredili. Dva odjemalca, dva vira resnice in posodobljen je bil le eden od njiju.

Berite shranjeni profil, ne pogovornega okna

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Uporabite UUID, ko si dva profila delita ime, in potrdite, da je vrsta storitve pričakovani OpenVPN vtičnik in ne druga vrsta VPN, ki je slučajno nameščena. Nato primerjajte končno točko, transport in sklice na potrdila z delujočim klicem.

Vrednost, vidna v grafičnem urejevalniku, ni dokaz, da je bila shranjena. Shranite, znova odprite in jo preberite nazaj prek ukazne vrstice; zgodovinske napake shranjevanja so razlog za preverjanje shranjenih podatkov, ne dokaz, da ima vsaka trenutna različica isto napako. Preverjanje stane en ukaz.

Dva ključa in smer, ki je pomembna

Za povezavo z overjanjem TLS vtičnik shrani pot do skupnega ključa v ta in smer v ta-dir, kadar namestitev uporablja smer. Oba živita v podatkovnem slovarju profila in oba se morata ujemati s tem, kar pričakuje strežnik.

Smer je odločitev na strani strežnika, izražena na odjemalcu. Izbrati eno, ker jo ima sosednji profil, je način, kako delujoč ključ začne spodleteti pri rokovanju. Če konfiguracija strežnika nima smeri, si odjemalec ne sme izmisliti smeri.

Sama ključna datoteka mora biti vtičniku berljiva v kontekstu, v katerem dejansko teče. Omejen paket ima drugačen pogled na datotečni sistem kot običajna namestitev na namizju, zato je pot, ki obstaja v vaši lupini, lahko storitvi nevidna.

Posodobite en vnos, ne slovarja

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Vodilni plus posodablja posamezne vnose slovarja. Dodeljevanje vpn.data brez njega zamenja celoten slovar in tako en manjkajoč ključ postane pet pokvarjenih nastavitev. Po spremembi znova preberite profil in potrdite, da so drugi vnosi preživeli. Slovar, ki je izgubil oddaljeno končno točko in potrdila, je veliko daljše popoldne od tistega, s katerim ste začeli.

Znova se povežite z običajnimi kontrolniki in opazujte stopnjo, ki spodleti. Če vrata skupnega ključa zdaj minejo in odjemalec sporoči napako potrdila ali preverjanja uporabnika, ste napredovali in naslednja preiskava je drugačna.

Ne mešajte načinov krmilnega kanala

tls-auth, tls-crypt, in tls-crypt-v2 so različne ureditve. Podobno videti ključna datoteka jih ne naredi zamenljivih, polnjenje polj TLS-Auth pa zato, ker drug profil vsebuje oblikovan ključ, ustvari profil, ki spodleti na način, ki spominja na napačen ključ.

Uporabite preslikavo vtičnika, ki ustreza načinu v konfiguraciji strežnika. Ko način ni jasen, vprašajte lastnika strežnika, namesto da ugibate iz prve vrstice datoteke.

Ohranite pot za obnovitev, kadar tunel prenaša vašo sejo upravljanja. Shranjena sprememba ni nujno uporabljena sprememba in uspešen uvoz ni dokaz, da je bila podprta vsaka izvorna možnost. Obe vrzeli je vredno poznati preden znova povežete povezavo, prek katere delate.