Један профил, два власника: NetworkManager или systemd

Са датотеком .ovpn ништа се не дешава док је нешто не поседује. На Pi радној површини вероватни власници су NetworkManager, који увезену везу чува у сопственој keyfile датотеци, и самостална услужна јединица која чита конфигурацију из директоријума. То су два модела рада са различитим складиштењем, различитим поступањем са акредитивима и различитим правилима активирања. Свесно изабрати један од њих је цео задатак; копирање датотеке на оба места само чини избор случајним.

Оба могу да раде на једном рачунару, али не на истом тунелу у истом тренутку, а сукоб изгледа као мрежни квар, не као квар конфигурације.

Два начина да поседујете исти тунел

Додатак OpenVPN у NetworkManager-у додаје уређивач и услугу који управљају везом уместо вас, а инсталирање OpenVPN програма не инсталира ту интеграцију. Самостална јединица је обрнут распоред: без уређивача, без интеграције са радном површином, једна конфигурацијска датотека и она права која јединица да. Прва чува стање везе у сопственој бази података, друга га чува тамо где кажу профил и јединица. Већина забуне долази из претпоставке да су увезени профил и копирана датотека исти објекат.

То нису два погледа на једну ствар. Уређивање преузете датотеке не мења ни оно што је NetworkManager сачувао, ни оно што јединица чита, и било која од њих може бити она која је изградила тунел који сте управо тестирали.

Пратите везу коју радна површина заиста користи

Документована операција увоза, nmcli connection import type openvpn file office.ovpn, ствара везу кроз додатак. Забележите њен UUID и користите тај идентификатор даље, јер се називи уређују и две везе могу да деле исту ознаку. nmcli connection show наводи шта постоји, а читање сопствених својстава везе вам каже из које датотеке је дошла и шта чува. Ако UUID који уређујете није онај који радна површина активира, ваше измене су само украс.

Тајне живе у складишту власника. Исипање сваке сачуване тајне да бисте открили који је профил активан је споро и ризично; питајте објекат везе уместо тога и држите приватни материјал тамо где власник то очекује.

Увезеној вези није потребна графичка сесија да би радила, али јој и даље може бити потребан извор акредитива. Да ли ће се покренути без надзора зависи од њених дозвола и тајни, не од присуства радне површине.

Прочитајте шаблон јединице пре него што се на њега ослоните

Тамо где пакет испоручује клијентску јединицу у upstream стилу, инстанца названа office одговара %i.conf у конфигурисаном директоријуму јединице, који је за шаблон 2.6 /etc/openvpn/client. Прочитајте инсталирану јединицу и све додатне датотеке пре него што поверујете примеру из упутства, јер дистрибуције премештају путање. Ручно покретање из терминала не доказује ништа о томе како услуга види датотеке, тајне или дозволе. Ни дијалог за лозинку на радној површини није доказ да неинтерактивна јединица има одобрен начин да добије исту лозинку.

Дајте јединици само оно што јој треба. Олабавити цео sandbox услуге зато што једна референцирана датотека није читљива мења малу исправку дозвола за велику изложеност, а грешка обично именује датотеку којој је потребна пажња.

Повуците дупликат без губитка приступа

Ако оба власника могу да покрену тунел, један на крају побеђује у погрешном тренутку и руте и уређај губитника остају за собом. Уклоните случајни дупликат кроз његовог сопственог власника, држите пут опоравка отвореним и потврдите да се преостали власник и даље повезује после поновног покретања. Два свесно одвојена VPN-а са различитим политикама рутирања су друго пројектно питање, не дозвола да се две путање покретања такмиче око једне везе.

Затим запишите животни циклус који сте прихватили: ручна активација, пријава или подизање и поновно повезивање. Проверите сачувану крајњу тачку, аутентификацију друге стране и ресурс који тунел треба да достигне, јер поновна инсталација радне површине не замењује знање о томе која је конфигурација радила.