NM OpenVPN: сачувани профил није ваша .ovpn датотека

Иста .ovpn датотека се повезује из љуске и истекне након увоза у NetworkManager. Природан закључак је да је VPN покварен. Вероватније објашњење је мање: NetworkManager није задржао датотеку, увезао је део ње у сачувану везу, а активни тунел уместо тога користи те сачуване податке. Шта год датотека сада говори, неважно је за оно што профил садржи.

Датотека није профил

Увоз је превод, а не монтирање. Опције које додатак разуме постају кључеви у vpn.data речнику везе; опције које не разуме одбацују се или бележе негде другде, а оригинална путања је само референца. Накнадно уређивање изворне датотеке не мења ништа на вези која је већ сачувана.

Тај јаз објашњава читаву породицу извештаја: заједнички кључ је ротиран, датотека је ажурирана, а тунел и даље не ради. Сачувани профил и даље показује на стару путању или стару вредност, а командна линија наставља да ради јер чита датотеку коју сте уредили. Два клијента, два извора истине, а ажуриран је само један од њих.

Читајте сачувани профил, а не дијалог

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Користите UUID када два профила деле име и проверите да је тип услуге OpenVPN додатак који очекујете, а не други тип VPN-а који је случајно инсталиран. Затим упоредите крајњу тачку, транспорт и референце сертификата са радним позивом.

Вредност видљива у графичком уређивачу није доказ да је сачувана. Сачувајте, поново отворите и прочитајте је назад кроз командну линију; историјски дефекти чувања разлог су да проверите сачуване податке, а не доказ да свака тренутна верзија има исту грешку. Провера кошта једну команду.

Два кључа и смер који је битан

За везу која користи TLS аутентификацију, додатак чува путању заједничког кључа у ta и смер у ta-dir, када имплементација користи смер. Оба живе у речнику података профила и оба морају да се подударају са оним што сервер очекује.

Смер је одлука на страни сервера изражена на клијенту. Одабир смера зато што га суседни профил има је начин на који радни кључ почне да пада на руковању. Ако конфигурација сервера нема смер, клијент не треба да измишља смер.

Сама датотека кључа мора бити читљива додатку у контексту у којем се стварно извршава. Ограничен пакет има другачији поглед на датотечни систем од обичне десктоп инсталације, па путања која постоји у вашој љусци може бити невидљива услузи.

Ажурирајте један унос, а не речник

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Водећи плус ажурира појединачне уносе речника. Додела vpn.data без њега замењује цео речник и тако један кључ који недостаје постаје пет покварених подешавања. Прочитајте профил назад након промене и потврдите да су остали уноси преживели. Речник који је изгубио удаљену крајњу тачку и сертификате много је дуже поподне од онога с којим сте почели.

Поново се повежите кроз уобичајене контроле и гледајте фазу која пада. Ако заједничка кључна капија сада пролази и клијент пријави грешку сертификата или аутентификације корисника, напредовали сте и следећа истрага је другачија.

Не мешајте начине контролног канала

tls-auth, tls-crypt, и tls-crypt-v2 су различити аранжмани. Датотека кључа која изгледа слично не чини их заменљивима, а попуњавање TLS-Auth поља зато што други профил садржи форматиран кључ ствара профил који пада на начин који личи на погрешан кључ.

Користите мапирање додатка које одговара начину у конфигурацији сервера. Када је начин нејасан, питајте власника сервера уместо да нагађате из првог реда датотеке.

Задржите пут опоравка када тунел носи вашу управљачку сесију. Сачувана промена није нужно примењена промена, а успешан увоз није доказ да је свака изворна опција била подржана. Оба та јаза вреди знати пре него поново повежете везу кроз коју радите.