如何在 Pardus Linux 桌面系統上設定 VPN 連接

您擁有 VPN 伺服器位址、憑證或設定文件，但 Pardus 要么顯示沒有合適的 VPN 類型，要么拒絕導入文件，要么顯示「已連接」但私有網路仍然無法存取。這些症狀通常源自以下三個面向：缺少所需的 NetworkManager VPN 外掛程式、連線設定檔不完整，或隧道已建立但其路由和 DNS 設定與遠端網路的預期不符。

本指南從幹擾最小的路徑入手，逐步深入故障排除。它適用於 Pardus 25 桌面系統，其官方 ISO 鏡像檔案顯示 Pardus 25.2 GNOME 和 XFCE 版本發佈於 2026 年 7 月 16 日。 Pardus 25 的原始發行說明指出，支援的桌面環境為 GNOME 48.4 和 Xfce 4.20.2。 NetworkManager 是這些桌面工具底層的網路層，因此也可以透過命令列檢查和控制相同的連線設定檔。

本指南中使用的官方參考資料包括Pardus 25 發行說明、官方 Pardus 25 ISO 檔案、NetworkManager VPN 支援文件、NetworkManager nmcli 參考以及GNOME 的 VPN 連線協助。

在進行任何更改之前，請先確定您實際使用的 VPN。

不要一開始就選擇一個「看起來差不多」的協議。請向您的 VPN 管理員或提供者詢問確切的協定和身份驗證方法。至少，您需要收集伺服器主機名稱、協定、使用者名稱（如有）以及任何設定檔或憑證檔案。企業級設定可能還需要 CA 憑證、用戶端憑證和私鑰、一次性密碼、特定的 DNS 網域名稱或內部子網路路由。

• OpenVPN：通常以.ovpn設定檔的形式提供，有時會附帶單獨的 CA/用戶端憑證檔案。
• WireGuard：使用私鑰、對端公鑰、端點和允許的IP位址。 NetworkManager原生支援WireGuard，無需單獨的VPN外掛程式。
• OpenConnect：通常與 Cisco AnyConnect 相容網關和其他一些企業級 SSL VPN 一起使用。
• IKEv2/IPsec：通常使用 strongSwan NetworkManager 插件處理。
• L2TP/IPsec：在 Debian 系列桌面系統上需要使用其自身的 NetworkManager 插件。

NetworkManager 目前的 VPN 文件明確指出 PPTP 加密技術有缺陷，不應使用。如果某個老牌組織仍然提供 PPTP 使用說明，那麼下一步更好的做法是要求他們提供受支援的替代方案，而不是將 PPTP 視為預設的備用方案。

步驟 1：開啟 Pardus 網路設置

在 Pardus GNOME 系統中，開啟「設定」並選擇「網路」。 GNOME 的說明文件中介紹如何透過 VPN 部分的加號按鈕新增 VPN。在 Pardus XFCE 系統中，佈局有所不同；您可以從網路小程式開啟 NetworkManager 連線編輯器，或者nm-connection-editor如果安裝了該圖形編輯器，也可以直接執行。

如果 VPN 設定部分存在，但沒有提供您需要的協議，請不要重複重新建立連線。這通常意味著相應的 NetworkManager 整合尚未安裝。

步驟 2：確認 NetworkManager 正在執行

在安裝任何程式之前，請檢查 Pardus 是否正常使用 NetworkManager：

nmcli -t -f RUNNING general
nmcli -t -f STATE general
systemctl is-active NetworkManager

一台運作正常的桌上型電腦應該會顯示 NetworkManager 服務正在運作/處於活動狀態。如果該服務未激活，請先解決此問題；VPN 外掛程式在其父網路服務停止運作時將無法運作。

步驟 3：僅當您的協定需要時才安裝外掛程式。

Pardus 是基於 Debian，而目前的 Debian 13 軟體包集提供了與此處使用的相同的 NetworkManager 插件系列。請僅安裝與您的 VPN 相符的插件：

sudo apt update
sudo apt install network-manager-openvpn-gnome
# or
sudo apt install network-manager-openconnect-gnome
# or
sudo apt install network-manager-l2tp-gnome
# or, for IKEv2/IPsec
sudo apt install network-manager-strongswan

Debian 官方軟體包頁面將其描述network-manager-openvpn-gnome為 NetworkManager OpenVPN 插件的 GNOME GUI 元件、network-manager-openconnect-gnomeOpenConnect 整合以及network-manager-strongswanIKEv2 IPsec 的 NetworkManager 插件。通常情況下，您不需要單獨的 NetworkManager VPN 外掛程式來使用 WireGuard，因為 NetworkManager 自 1.16 版本起就已原生支援 WireGuard。

安裝插件後，關閉並重新開啟連接編輯器。通常無需完全重啟。如果圖形介面仍然沒有刷新，重啟 NetworkManager 會中斷網路連接，因此請僅在可以容忍短暫斷線的情況下執行此操作：

sudo systemctl restart NetworkManager

步驟 4：盡可能匯入提供的設定文件，而不是重新輸入。

如果管理員已提供 OpenVPN 配置，導入該文件通常比手動複製每個選項更安全。在 GNOME 中，如果可用，請選擇匯入已​​儲存的 VPN 設定檔的選項。 VPN 選項的特定清單取決於已安裝的插件，因此並非所有 Pardus 系統都會顯示相同的選單。

NetworkManager 也記錄了 OpenVPN 的導入路徑nmcli：

nmcli connection import type openvpn file ~/Downloads/company.ovpn

如果該指令提示 VPN 類型不受支持，請先確認是否已安裝 OpenVPN NetworkManager 外掛程式。如果該檔案包含 NetworkManager 匯入程式無法辨識的廠商特定指令，請將該設定檔與 VPN 管理員支援的 Linux 指令進行比較，而不是隨意刪除未知行。

步驟 5：仔細輸入身份驗證和證書詳細信息

對於手動建立的 OpenVPN 或 IPsec 配置，網關、驗證類型、CA 憑證、使用者憑證、私鑰和憑證必須與伺服器配置相符。常見的錯誤是將使用者名稱/密碼配置與基於憑證的指令混用，或選擇了錯誤的 CA 檔案。

對於儲存所有使用者密碼的選項，請務必謹慎。密鑰是否應該保存、每次請求或在系統範圍內共享，取決於組織策略。 NetworkManager 可以將連線金鑰儲存在其設定檔系統中，其文件也指出連線檔案可能包含密碼或私鑰。在共享設備上，應優先選擇滿足操作需求的最小存取權限。

步驟 6：授權更改並連接

建立或變更系統網路設定檔可能會觸發桌面授權提示。只有當您發起變更並確認此操作時，才需要輸入本機管理員密碼。

儲存設定檔後，請從「網路」面板或桌面網路選單中啟用它。如果您的 VPN 使用多重因素驗證 (MFA) 或未儲存的密碼，則連線時可能會收到另一次提示。

步驟 7：驗證隧道，而不是只信任切換開關。

當 GUI 顯示「已連線」時，請使用 NetworkManager 確認狀態：

nmcli connection show --active
nmcli device status
ip route
ip -6 route

對於全隧道 VPN，您可以預期預設路由或策略路由規則會將網路流量透過隧道傳輸。對於分離隧道企業 VPN，普通網路路由可能保持不變，而只有特定的私有前綴流量會透過 VPN 傳輸。這意味著「我的公網 IP 位址沒有改變」並不一定意味著 VPN 連線失敗。

步驟 8：測試 VPN 應該連結的資源

最佳驗證目標是只能透過 VPN 存取的內部資源：例如，內部 DNS 名稱、Web 入口網站、Git 伺服器或管理員提供的私人 IP 位址。不要隨意建立私有位址並假設它應該回應 ping 請求；許多網路會阻止 ICMP 請求。

nmcli connection show --active
ip route get 10.20.30.40
getent hosts intranet.example.internal
curl -I https://intranet.example.internal/

對於 OpenVPN，隧道介面通常命名為 `<internet_name>` tun0，但這個名稱並非總是如此。 WireGuard 通常會使用其自身的介面名稱。使用 `<internet_name>` 和 `<internet_name>` 指令nmcli connection show --active可以ip link發現系統實際建立的介面名稱。

如果 VPN 連線成功，但內部網站仍然無法存取

首先檢查路線。

運行ip route並執行ip route get INTERNAL_IP。如果查找結果選擇了您常用的 Wi-Fi/乙太網路閘道而不是 VPN 路徑，則可能是設定檔缺少所需的私人子網路路由。在自行新增路由之前，請先諮詢 VPN 管理員哪些前綴應該透過隧道路由。

然後檢查 DNS

如果私有 IP 位址有效但內部主機名稱無效，則問題可能出在名稱解析上，而不是隧道本身。在使用 的系統上systemd-resolved，resolvectl status可以顯示 DNS 伺服器和每個連結的網域名稱。在其他設定中，請檢查 NetworkManager 公開的 DNS 資訊：

nmcli device show | grep -E 'IP4.DNS|IP6.DNS|IP4.DOMAIN|IP6.DOMAIN'

分離式 DNS 在企業環境中特別重要：只有內部網域名稱才需要連接到公司 DNS 伺服器。如果將所有 DNS 設定都替換為公用解析器，原本執行正常的 DNS 隧道可能會發生故障，因為私人網域名稱將無法解析。

身份驗證或協商失敗時，請使用日誌記錄。

如果連線始終無法達到已連線狀態，請在重試期間查看 NetworkManager 日誌：

journalctl -u NetworkManager -b --no-pager
sudo journalctl -u NetworkManager -b -f

尋找憑證驗證錯誤、網關無法存取訊息、身份驗證失敗或外掛程式啟動錯誤。請勿在未仔細檢查的情況下公開貼上完整日誌，因為其中可能包含伺服器名稱、使用者名稱、憑證路徑和網路詳細資訊。

Pardus 上的 WireGuard：使用原生 NetworkManager 支持

WireGuard 與上述基於外掛程式的 VPN 類型有所不同。 NetworkManager 的官方 VPN 文件指出，它原生支援 WireGuard，而 NetworkManager 設定參考文件也公開了 WireGuard 特有的屬性，例如私鑰、對等節點、端點、允許的 IP 位址和持久連接。

如果您已設定 WireGuard，建議匯入或建立 NetworkManager WireGuard 設定文件，並使用管理員提供的確切值。請特別注意AllowedIPs：它決定了發送到對端的地址前綴。包含 `--destination-prefix`0.0.0.0/0和 ` --destination-prefix` 的設定::/0通常用於建立完整隧道；較窄的位址前綴則表示分割隧道。

何時停止對 NetworkManager 進行故障排除並改變方法

當 VPN 技術本身就整合了 NetworkManager，而桌面環境需要一個使用者可以輕鬆切換的持久性設定檔時，NetworkManager 是一個不錯的選擇。但如果供應商需要的功能其 NetworkManager 外掛程式並未提供，或者企業用戶端需要執行設備狀態檢查或專有身份驗證，又或者管理員明確只支援供應商的 Linux 用戶端，則需要改變方案。

NetworkManager 本身也發出警告，某些第三方 VPN 外掛程式已停止維護。其目前的支援頁面指出，舊版 Fortinet SSLVPN 外掛程式已停止維護，並建議使用 OpenConnect 來相容舊版 Fortinet 協定；而 PPTP 協定既已停止維護，其加密功能也已被破解。因此，軟體包倉庫中可見的插件並不等同於您現在應該部署的協定。

最終自檢

在確認 Pardus VPN 設定完成之前，請先中斷連線並重新連線一次，然後再次驗證結果。一個成功的配置應該通過以下檢查：

• VPN設定檔正常激活，沒有插件錯誤或身份驗證錯誤。
• nmcli connection show --active連線時顯示 VPN 或 WireGuard 設定。
• 前往已批准的內部目的地的路線將經過預定的隧道路徑。
• 組織內部 DNS 名稱解析的時間與預期一致。
• 您可以存取至少一項真正的內部服務，這也是 VPN 的用途之一。
• 斷開 VPN 連線會如預期般移除私有路由或存取權限。

如果連線通過了身份驗證，但路由或 DNS 檢查失敗，請不要頻繁地變更密碼和憑證。應將調查重點轉移到路由、DNS 網域、伺服器端策略以及所需的分割隧道設計。如果協定本身需要使用已停止維護或過時的插件，更持久的解決方案是遷移到目前受支援的 VPN 技術，而不是強行讓舊技術繼續運作。