Чому редактор VPN не зберігає новий профіль

Кнопка «Зберегти» залишається сірою, хоча кожне поле виглядає заповненим, а шлюз ще не бачив жодного пакета. Нічого не відхилено, бо нічого не надіслано. Елемент керування відображає те, що локальний редактор може перевірити в профілі перед собою. Це вужче питання, ніж чи працює обліковий запис, і на нього відповідають без мережі.

Кнопка відображає локальну перевірку

У вимкненого елемента керування більше ніж одна локальна причина, і ззовні вони виглядають однаково. Може бракувати обов’язкового посилання, зазначений файл може бути нечитабельним для користувача, який запускає редактор, або плагін, що обробляв би вибраний метод, може бути взагалі не встановлений. Проблеми з правами на самому профілі дають ту саму сіру кнопку, що й порожнє поле.

Прочитайте повідомлення перевірки, перш ніж щось змінювати, бо в повідомленні названо поле, проти якого заперечує редактор. Вгадувати форму повільніше, ніж прочитати одне речення, яке редактор уже написав.

Узгодьте поля з вибраним методом

Потрібні вхідні дані випливають із методу підключення, а не з компонування діалогу. Ідентичність за сертифікатом потребує клієнтського сертифіката й доступу до відповідного закритого ключа, а також способу перевірити сервер. Метод на основі облікового запису має інші вимоги і теж потребує перевірки сервера. Деякі розгортання потребують обох одночасно, тому форма, яка здається надлишковою, часто правильна.

Використовуйте підтримуваний профіль та інструкції оператора з реєстрації замість того, щоб складати поля навмання. Помістити клієнтський сертифікат у поле CA, поводитися з відкритим сертифікатом як із закритим ключем або вписати пароль облікового запису в поле парольної фрази закритого ключа — усе це поширене і дає ту саму мовчазну відмову зберігати.

Перевіряйте кожне посилання як об’єкт, яким воно має бути. Ім’я файлу з правильним розширенням нічого не доводить про читабельність, власника чи належність цій ідентичності. Закритий ключ, читабельний лише для root, не завантажиться в сеансі робочого столу, і редактор повідомляє про це як про помилку перевірки, а не як про помилку прав.

Зміна методу лише для того, щоб кнопка стала активною, змінює сенс профілю. Введення випадкових паролів і подальше повернення назад можуть залишити збережені значення, яких ніхто не хотів. Це також приховує вимогу, якої насправді бракувало, і вона повертається як помилка підключення за годину.

Відокремлюйте збережені секрети від секретів агента

Частина відомостей належить збереженому профілю, а інші облікові дані можуть надаватися інтерактивно під час активації. API підключень NetworkManager тримає перевірку підключення, перевірку секретів і виявлення секретів окремими операціями, і його власна документація попереджає, що підказки не завжди можуть визначити все, що потрібно підключенню.

Ця відмінність пояснює порожнє поле пароля. Воно може бути правильним, бо агент секретів надасть значення, і може бути неправильним, бо в цього підключення немає доступного агента. Прапорці, прив’язані до секрету, вирішують, чи належить він системі, агенту або не зберігається взагалі.

Виберіть прапорець, що відповідає життєвому циклу. Зв’язка ключів робочого столу, розблокована після входу, недоступна службі, що запускається до входу, тому профіль, який працює інтерактивно, може зазнати невдачі під час завантаження без будь-яких змін у профілі. Ця невдача виглядає як зламаний профіль, а насправді це невідповідність розкладу.

Успішне збереження також не доводить, що потрібний агент відповість на наступний запит. Зберігайте володіння обліковим записом і закритим ключем, замість копіювати кожен секрет у доступний системі файл лише для тиші в діалозі.

Читайте подальші етапи окремо

Після збереження профілю перегляньте його ідентифікатор, кінцеву точку, плагін і метод, не запитуючи секретних значень. Імпорт від оператора може допомогти, але імпорт — це власний аналізатор із власними підтримуваними можливостями, тому відхилений імпорт — не та сама невдача, що відхилене збереження.

Лише тоді активуйте через призначений менеджер і обліковий запис, якого він очікує. Помилка ідентичності сервера, відхилений обліковий запис, відсутній маршрут і відхилений дозвіл застосунку належать до пізніших етапів, і повідомлення про них як про проблему редактора скеровує розслідування не туди.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Corp VPN" | grep -E "vpn\.|802-1x"

Якщо «Зберегти» залишається неактивною з задокументованими даними, запишіть версію редактора, версію плагіна, вибраний метод і точну локальну помилку. Звіт, що називає чинний профіль, який редактор не може подати, корисний; послідовність випадкових облікових даних, яка на мить зробила кнопку активною, — ні.