Một hồ sơ, hai chủ sở hữu: NetworkManager hay systemd

Không có gì xảy ra với tệp .ovpn cho đến khi có thứ gì đó sở hữu nó. Trên màn hình Pi, những chủ sở hữu khả dĩ là NetworkManager, thứ lưu kết nối đã nhập trong tệp khóa riêng của nó, và một đơn vị dịch vụ độc lập đọc cấu hình từ một thư mục. Đây là hai mô hình vận hành với cách lưu trữ khác nhau, cách xử lý thông tin đăng nhập khác nhau và quy tắc kích hoạt khác nhau. Chọn một cách có chủ đích chính là toàn bộ công việc; sao chép tệp vào cả hai nơi chỉ khiến lựa chọn trở thành tình cờ.

Cả hai đều có thể chạy trên một máy, nhưng không phải trên cùng một đường hầm cùng lúc, và xung đột trông giống lỗi mạng hơn là lỗi cấu hình.

Hai cách sở hữu cùng một đường hầm

Plugin OpenVPN của NetworkManager thêm một trình biên tập và một dịch vụ quản lý kết nối thay bạn, và việc cài đặt chương trình OpenVPN không cài đặt tích hợp đó. Một đơn vị độc lập là cách bố trí ngược lại: không trình biên tập, không tích hợp màn hình, một tệp cấu hình và các quyền mà đơn vị cấp. Cái đầu giữ trạng thái kết nối trong cơ sở dữ liệu riêng, cái sau giữ nó ở nơi hồ sơ và đơn vị nói. Phần lớn sự nhầm lẫn đến từ giả định rằng hồ sơ đã nhập và tệp đã sao chép là cùng một đối tượng.

Chúng không phải hai góc nhìn của một thứ. Sửa tệp đã tải xuống không thay đổi điều NetworkManager đã lưu cũng như điều đơn vị đọc, và bất kỳ cái nào trong hai có thể là thứ đã dựng nên đường hầm bạn vừa kiểm tra.

Đi theo kết nối mà màn hình thực sự dùng

Thao tác nhập đã được ghi tài liệu, nmcli connection import type openvpn file office.ovpn, tạo một kết nối qua plugin. Ghi lại UUID của nó và dùng mã định danh đó về sau, vì tên bị sửa và hai kết nối có thể chia sẻ một nhãn. nmcli connection show liệt kê những gì tồn tại, và đọc thuộc tính của chính kết nối cho bạn biết nó đến từ tệp nào và lưu gì. Nếu UUID bạn đang sửa không phải là cái mà màn hình kích hoạt, các sửa đổi của bạn chỉ là trang trí.

Bí mật sống trong kho của chủ sở hữu. Đổ hết mọi bí mật đã lưu để tìm ra hồ sơ nào đang hoạt động là chậm và rủi ro; hãy hỏi đối tượng kết nối thay vào đó, và giữ tài liệu riêng tư ở nơi chủ sở hữu mong đợi.

Một kết nối đã nhập không cần phiên đồ họa để chạy, nhưng nó vẫn có thể cần một nguồn thông tin đăng nhập. Việc nó khởi động mà không có giám sát phụ thuộc vào quyền và bí mật của nó, không phụ thuộc vào việc màn hình có hiện diện hay không.

Đọc mẫu đơn vị trước khi dựa vào nó

Ở nơi gói cung cấp đơn vị máy khách theo kiểu upstream, một phiên bản tên office tương ứng với %i.conf trong thư mục đã cấu hình của đơn vị, mà với mẫu 2.6 là /etc/openvpn/client. Đọc đơn vị đã cài đặt và mọi tệp bổ sung trước khi tin vào một ví dụ từ hướng dẫn, vì các bản phân phối di chuyển đường dẫn. Chạy thủ công từ dòng lệnh không chứng minh gì về cách dịch vụ nhìn nhận tệp, bí mật hay quyền. Hộp thoại mật khẩu của màn hình cũng không phải bằng chứng rằng một đơn vị không tương tác có cách được chấp thuận để lấy cùng mật khẩu.

Chỉ cấp cho đơn vị những gì nó cần. Nới lỏng toàn bộ hộp cát của dịch vụ vì một tệp được tham chiếu không đọc được sẽ đổi một chỉnh sửa quyền nhỏ lấy một rủi ro phơi nhiễm lớn, và lỗi thường nêu tên tệp cần được chú ý.

Ngừng dùng bản trùng mà không mất quyền truy cập

Nếu cả hai chủ sở hữu đều có thể khởi động đường hầm, một bên cuối cùng sẽ thắng vào thời điểm sai và tuyến đường cùng thiết bị của bên thua sẽ bị bỏ lại. Xóa bản trùng ngoài ý muốn thông qua chính chủ sở hữu của nó, giữ một đường khôi phục mở, và xác nhận chủ sở hữu còn lại vẫn kết nối sau khi khởi động lại. Hai VPN cố ý tách riêng với chính sách định tuyến khác nhau là một câu hỏi thiết kế khác, không phải sự cho phép để hai đường khởi động tranh nhau một kết nối.

Sau đó ghi lại vòng đời bạn đã chấp nhận: kích hoạt thủ công, đăng nhập, hoặc khởi động và kết nối lại. Kiểm tra điểm cuối đã lưu, xác thực phía bên kia và tài nguyên mà đường hầm phải tới, vì cài lại màn hình không thay thế việc biết cấu hình nào đã chạy.