NM OpenVPN: ang naka-save na profile ay hindi ang iyong .ovpn file

Ang parehong .ovpn file ay kumokonekta mula sa isang shell at nag-time out pagkatapos ma-import sa NetworkManager. Ang natural na konklusyon ay sira ang VPN. Ang mas malamang na paliwanag ay mas maliit: hindi itinago ng NetworkManager ang file, nag-import ito ng bahagi nito sa isang naka-save na koneksyon, at ang tumatakbong tunnel ay gumagamit sa halip ng naka-save na data na iyon. Anuman ang sinasabi ng file ngayon ay walang kaugnayan sa nilalaman ng profile.

Ang file ay hindi ang profile

Ang import ay isang pagsasalin, hindi isang pag-mount. Ang mga opsyon na naiintindihan ng plugin ay nagiging mga susi sa vpn.data diksyunaryo ng koneksyon; ang mga opsyon na hindi nito naiintindihan ay itinatapon o itinatala sa ibang lugar, at ang orihinal na landas ay isang sanggunian lamang. Ang pag-edit sa source file pagkatapos ay walang binabago sa koneksyon na naka-save na.

Ipinapaliwanag ng agwat na iyon ang isang buong pamilya ng mga ulat: ang shared key ay ini-rotate, na-update ang file, at nabibigo pa rin ang tunnel. Ang naka-save na profile ay tumuturo pa rin sa lumang landas o lumang halaga, at patuloy na gumagana ang command line dahil binabasa nito ang file na in-edit mo. Dalawang kliyente, dalawang pinagmumulan ng katotohanan, at isa lang sa kanila ang na-update.

Basahin ang naka-save na profile, hindi ang dialog

nmcli -f connection.id,connection.uuid,vpn.service-type,vpn.data connection show office-vpn

Gamitin ang UUID kapag may dalawang profile na nagbabahagi ng pangalan, at tiyakin na ang uri ng serbisyo ay ang OpenVPN plugin na inaasahan mo, at hindi ibang uri ng VPN na nagkataong naka-install. Pagkatapos ay ihambing ang endpoint, transport, at mga sanggunian ng sertipiko sa gumaganang invocation.

Ang halagang nakikita sa isang graphical editor ay hindi patunay na na-save ito. I-save, buksan muli, at basahin itong muli sa pamamagitan ng command line; ang mga makasaysayang depekto sa pag-save ay dahilan upang suriin ang naka-save na data, hindi patunay na ang bawat kasalukuyang build ay may parehong bug. Ang pagsusuri ay nagkakahalaga ng isang command.

Dalawang susi, at isang direksyon na mahalaga

Para sa isang koneksyon na gumagamit ng TLS authentication, iniimbak ng plugin ang landas ng shared key sa ta at ang direksyon sa ta-dir, kapag ang deployment ay gumagamit ng isa. Pareho silang naninirahan sa data dictionary ng profile, at pareho silang dapat tumugma sa inaasahan ng server.

Ang direksyon ay isang desisyon sa panig ng server na ipinahayag sa kliyente. Ang pagpili ng isa dahil mayroon ito sa kalapit na profile ay ang paraan kung paano nagsisimulang mabigo ang isang gumaganang susi sa isang handshake. Kung ang configuration ng server ay walang direksyon, hindi dapat mag-imbento ang kliyente ng direksyon.

Ang key file mismo ay dapat mabasa ng plugin sa kontekstong talagang tumatakbo ito. Ang isang nakakulong na package ay may ibang pananaw sa filesystem kaysa sa ordinaryong desktop install, kaya ang landas na umiiral sa iyong shell ay maaaring hindi makita ng serbisyo.

I-update ang isang entry, hindi ang diksyunaryo

nmcli connection modify office-vpn +vpn.data 'ta=/etc/NetworkManager/certs/office-ta.key'
nmcli connection modify office-vpn +vpn.data 'ta-dir=1'

Ang nangungunang plus ay nag-a-update ng mga indibidwal na entry sa diksyunaryo. Itakda vpn.data nang wala ito ay pinapalitan ang buong diksyunaryo, at ganoon nagiging limang sirang setting ang isang kulang na susi. Basahin muli ang profile pagkatapos ng pagbabago at tiyakin na nabuhay ang iba pang entry. Ang diksyunaryong nawalan ng remote endpoint at mga sertipiko nito ay isang mas mahabang hapon kaysa sa sinimulan mo.

Kumonekta muli sa pamamagitan ng normal na mga kontrol at panoorin ang yugtong nabibigo. Kung ang shared-key gate ay pumasa na ngayon at nag-ulat ang kliyente ng error sa sertipiko o user authentication, umusad ka na at ang susunod na pagsisiyasat ay iba.

Huwag paghalo-haluin ang mga mode ng control channel

tls-auth, tls-crypt, at tls-crypt-v2 ay magkaibang kaayusan. Ang key file na mukhang katulad ay hindi sila ginagawang mapagpapalit, at ang pagpuno sa TLS-Auth fields dahil may formatted key sa ibang profile ay gumagawa ng profile na nabibigo sa paraang kahawig ng maling susi.

Gamitin ang plugin mapping na tumutugma sa mode sa configuration ng server. Kapag hindi malinaw ang mode, tanungin ang may-ari ng server sa halip na hulaan mula sa unang linya ng file.

Panatilihin ang isang recovery path kapag dinadala ng tunnel ang iyong management session. Ang naka-save na pagbabago ay hindi kinakailangang isang naipatupad na pagbabago, at ang matagumpay na import ay hindi patunay na sinuportahan ang bawat source na opsyon. Pareho ng agwat na iyon ay sulit malaman bago mo muling ikonekta ang link na ginagamit mo sa trabaho.