Varför VPN-redigeraren inte sparar en ny profil

Spara-knappen förblir grå medan varje fält ser ifyllt ut, och gatewayen har ännu inte sett ett enda paket. Ingenting har avvisats, eftersom ingenting har skickats. Kontrollen speglar vad den lokala redigeraren kan verifiera om profilen framför sig. Det är en snävare fråga än om kontot fungerar, och den besvaras utan nätverket.

Knappen speglar lokal validering

En inaktiverad kontroll har mer än en lokal orsak, och de ser likadana ut utifrån. En obligatorisk referens kan saknas, en refererad fil kan vara oläsbar för användaren som kör redigeraren, eller så är insticksprogrammet som skulle hantera den valda metoden inte installerat alls. Behörighetsproblem på själva profilen ger samma grå knapp som ett tomt fält.

Läs valideringsmeddelandet innan du redigerar något, eftersom meddelandet namnger fältet som redigeraren invänder mot. Att gissa sig till formuläret är långsammare än att läsa den enda mening redigeraren redan har skrivit.

Anpassa fälten till den valda metoden

De nödvändiga inmatningarna följer av anslutningsmetoden snarare än av dialogens utformning. En certifikatidentitet behöver ett klientcertifikat plus åtkomst till dess matchande privata nyckel och behöver fortfarande ett sätt att verifiera servern. En kontobaserad metod har andra krav och behöver också serververifiering. Vissa installationer kräver båda samtidigt, vilket är varför ett formulär som verkar överflödigt ofta är korrekt.

Använd operatörens profilerade och registreringsinstruktioner i stället för att sätta ihop fält på känn. Att sätta ett klientcertifikat i CA-fältet, behandla ett offentligt certifikat som en privat nyckel eller skriva ett kontolösenord i rutan för lösenfras till en privat nyckel är allt vanligt och ger alla samma tysta vägran att spara.

Kontrollera varje referens som det objekt den är avsedd att vara. Ett filnamn med rätt ändelse bevisar ingenting om läsbarhet, ägande eller om det hör till den här identiteten. En privat nyckel som bara root kan läsa läses inte in i en skrivbordssession, och redigeraren rapporterar det som ett valideringsfel i stället för som ett behörighetsfel.

Att byta metod enbart för att göra knappen klickbar ändrar vad profilen betyder. Att skriva skräplösenord och sedan byta tillbaka kan lämna sparade värden som ingen ville ha. Det döljer också kravet som faktiskt saknades, vilket återkommer som ett anslutningsfel en timme senare.

Skilja sparade hemligheter från agenthemligheter

Viss information hör hemma i den sparade profilen och en annan autentiseringsuppgift kan tillhandahållas interaktivt vid aktivering. NetworkManagers anslutnings-API håller anslutningsverifiering, hemlighetsverifiering och hemlighetsupptäckt som separata operationer, och dess egen dokumentation varnar för att ledtrådar inte alltid kan avgöra allt som en anslutning behöver.

Den åtskillnaden förklarar ett tomt lösenordsfält. Det kan vara korrekt eftersom en hemlighetsagent levererar värdet, och det kan vara fel eftersom den här anslutningen inte har någon agent tillgänglig. Flaggorna som är kopplade till en hemlighet avgör om den ägs av systemet, av agenten eller inte sparas alls.

Välj den flagga som matchar livscykeln. En skrivbordsnyckelring som låses upp efter inloggning är inte tillgänglig för en tjänst som startar före inloggning, så en profil som fungerar interaktivt kan misslyckas vid uppstart utan någon ändring av profilen. Det felet ser ut som en trasig profil och är egentligen en schemaläggningsmissmatchning.

En lyckad sparning är inte heller bevis för att den avsedda agenten svarar på nästa uppmaning. Behåll ägandet av kontot och den privata nyckeln i stället för att kopiera varje hemlighet till en systemläsbar fil för att få dialogen att tiga.

Läs de senare stegen separat

När profilen har sparats, inspektera dess identifierare, slutpunkt, insticksprogram och metod utan att fråga efter hemliga värden. En import från operatören kan hjälpa, men import är sin egen parser med sina egna funktioner som stöds, så en avvisad import är inte samma fel som en avvisad sparning.

Aktivera först då via den avsedda hanteraren och det konto den förväntar sig. Ett serveridentitetsfel, ett avvisat konto, en saknad rutt och en nekad programbehörighet hör alla till senare steg, och att rapportera dem som ett redigerarproblem skickar utredningen till fel plats.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Corp VPN" | grep -E "vpn\.|802-1x"

Om Spara förblir inaktiverat med de dokumenterade inmatningarna, anteckna redigerarens version, insticksprogrammets version, den valda metoden och det exakta lokala felet. En rapport som namnger den giltiga profil som redigeraren inte kan representera är användbar; en sekvens slumpmässiga autentiseringsuppgifter som tillfälligt gjorde knappen klickbar är det inte.