Isang profile, dalawang may-ari: NetworkManager o systemd

Walang nangyayari sa isang .ovpn file hanggang may isang bagay na nagmamay-ari nito. Sa desktop ng Pi, ang mga malamang na may-ari ay ang NetworkManager, na nag-iimbak ng inangkat na koneksyon sa sarili nitong keyfile, at isang hiwalay na service unit na nagbabasa ng configuration mula sa isang direktoryo. Ito ay dalawang modelo ng operasyon na may ibang imbakan, ibang paghawak sa mga kredensyal at ibang mga patakaran sa pag-activate. Ang sadyang pagpili ng isa sa kanila ang buong gawain; ang pagkopya ng file sa dalawang lugar ay ginagawa lamang itong aksidente.

Puwedeng gumana ang dalawa sa isang makina, pero hindi sa parehong tunnel sa parehong sandali, at ang hidwaan ay mukhang sira ng network, hindi sira ng configuration.

Dalawang paraan ng pagmamay-ari ng parehong tunnel

Ang plugin na OpenVPN ng NetworkManager ay nagdaragdag ng editor at serbisyo na namamahala ng koneksyon para sa iyo, at ang pag-install ng OpenVPN program ay hindi nag-iinstall ng integrasyong iyon. Ang hiwalay na unit ay ang kabaligtarang kaayusan: walang editor, walang integrasyon sa desktop, isang configuration file at ang mga pribilehiyong ibinibigay ng unit. Ang una ay nag-iingat ng estado ng koneksyon sa sarili nitong database, ang pangalawa ay nag-iingat nito kung saan sinasabi ng profile at unit. Karamihan ng kalituhan ay nagmumula sa pag-aakalang ang inangkat na profile at ang kinopyang file ay isang bagay.

Hindi sila dalawang pananaw ng isang bagay. Ang pag-edit ng na-download na file ay hindi nagbabago sa inimbak ng NetworkManager o sa binabasa ng unit, at alinman sa kanila ang maaaring siyang bumuo ng tunnel na sinubukan mo lang.

Sundin ang koneksyong aktwal na ginagamit ng desktop

Ang dokumentadong operasyon ng pag-import, nmcli connection import type openvpn file office.ovpn, ay lumilikha ng koneksyon sa pamamagitan ng plugin. Itala ang UUID nito at gamitin ang identifier na iyon pagkatapos, dahil ine-edit ang mga pangalan at dalawang koneksyon ay maaaring magbahagi ng isang label. nmcli connection show ay naglilista ng umiiral, at ang pagbasa ng sariling mga katangian ng koneksyon ay nagsasabi kung saang file ito galing at kung ano ang inimbak. Kung ang UUID na ine-edit mo ay hindi ang ina-activate ng desktop, ang mga pag-edit mo ay palamuti lamang.

Nakatira ang mga lihim sa imbakan ng may-ari. Ang pagbuhos ng bawat naka-imbak na lihim para alamin kung aling profile ang aktibo ay mabagal at mapanganib; tanungin ang object ng koneksyon sa halip, at itago ang pribadong materyal kung saan ito inaasahan ng may-ari.

Ang inangkat na koneksyon ay hindi kailangan ng graphical session para tumakbo, pero maaaring kailanganin pa rin nito ng pinagmulan ng kredensyal. Kung magsisimula ito nang walang pangangasiwa ay depende sa mga pahintulot at lihim nito, hindi sa presensya ng desktop.

Basahin ang template ng unit bago umasa dito

Kung saan ibinibigay ng pakete ang client unit sa istilong upstream, ang instans na pinangalanang office ay tumutugma sa %i.conf sa loob ng naka-configure na direktoryo ng unit, na para sa 2.6 template ay /etc/openvpn/client. Basahin ang naka-install na unit at anumang karagdagang file bago maniwala sa isang halimbawa mula sa gabay, dahil inililipat ng mga distribusyon ang mga landas. Ang manu-manong paglulunsad mula sa terminal ay walang pinapatunayan tungkol sa pananaw ng serbisyo sa mga file, lihim o pahintulot. Ang dialog ng password ng desktop ay hindi rin patunay na ang isang non-interactive na unit ay may aprubadong paraan upang makuha ang parehong password.

Bigyan ang unit ng kailangan lang nito. Ang pagluwag ng buong sandbox ng serbisyo dahil isang referenced na file ang hindi mabasa ay nagpapalit ng maliit na pagwawasto ng pahintulot sa malaking pagkakalantad, at karaniwang pinangalanan ng error ang file na nangangailangan ng pansin.

Alisin ang duplicate nang hindi nawawala ang access

Kung parehong kayang simulan ng dalawang may-ari ang tunnel, may isang mananalo sa huli sa maling sandali at maiiwan ang mga ruta at device ng natalo. Alisin ang aksidenteng duplicate sa pamamagitan ng sarili nitong may-ari, panatilihing bukas ang landas ng pagbangon, at tiyakin na ang natitirang may-ari ay kumokonekta pa rin pagkatapos ng reboot. Dalawang sadyang hiwalay na VPN na may iba't ibang patakaran sa routing ay ibang tanong sa disenyo, hindi pahintulot para sa dalawang landas ng paglulunsad na mag-agawan sa isang koneksyon.

Pagkatapos, isulat ang lifecycle na tinanggap mo: manu-manong activation, login, o boot at muling pagkonekta. Suriin ang naka-imbak na endpoint, ang authentication ng kabilang panig at ang resource na dapat maabot ng tunnel, dahil ang muling pag-install ng desktop ay hindi kapalit ng pag-alam kung aling configuration ang tumakbo.