NetworkManager

NetworkManager は、システムがネットワークに自動的に接続できるようにするためにネットワークの検出と設定の機能を提供するプログラムです。NetworkManager の機能は無線ネットワークと有線ネットワークの両方で有用です。無線ネットワークでは、NetworkManager は既知の無線ネットワークを優先するようになっており、最も信頼性のあるネットワークに切り替える機能もあります。NetworkManager 対応のアプリケーションはオンラインモードとオフラインモードの切り替えが可能です。また、NetworkManager は無線接続よりも有線接続を優先するようになっており、モデム接続と特定の種類の VPN に対応しています。NetworkManager は元々 Red Hat によって開発されていましたが、現在では GNOME プロジェクトによってホストされています。

警告: デフォルトでは、機密情報 (Wi-Fi のパスワードなど) は root ユーザからファイルシステムでアクセス可能であり、さらに GUI (nm-applet など) を介して設定にアクセスできるユーザからもアクセス可能です。#Wi-Fi パスワードの暗号化を参照してください。

1 インストール
2 使い方
- 2.1 nmcli 例
- 2.2 接続を編集する
3 グラフィカルフロントエンド
4 設定
5 NetworkManager dispatcher を使用したネットワークサービス
- 5.1 dispatcher タイムアウトの回避
- 5.2 Dispatcher 例
6 テスト
7 ヒントとテクニック
8 トラブルシューティング
9 参照

インストール

NetworkManager は公式リポジトリにある networkmanager パッケージでインストールできます。これには、デーモンとコマンドラインインターフェース (nmcli)、cursesベースのテキストインターフェース (nmtui)が含まれます。

NetworkManager を有効にする

インストール後、NetworkManager.service を開始/有効します。NetworkManager デーモンが起動すると、すでに構成されている使用可能な "system connections" に自動的に接続します。"user connections" または未接続の場合は、構成および接続するために、nmcli またはアプレットが必要です。

追加のインターフェース

nm-connection-editor: グラフィカルインターフェース。
network-manager-applet: システムトレイアプレット (nm-applet).

ノート: ネットワークを設定しようとするサービスが他に動いていないことを確認してください。複数のネットワークサービスがあると衝突します。systemctl --type=service で現在動作しているサービスのリストを表示できるので、ネットワークサービスがあったら停止してください。NetworkManager サービスを有効にする方法は設定を見てください。

VPN サポート

NetworkManager 1.16 から WireGuard に対応しました。詳細は [1] を参照してください。

NetworkManager の VPN サポートはプラグインシステムをベースにしています。NetworkManager で VPN のサポートが必要なときは以下のパッケージの中から必要なものをインストールしてください:

networkmanager-openconnect for OpenConnect
networkmanager-openvpn for OpenVPN
networkmanager-pptp for PPTP クライアント
networkmanager-vpnc for Vpnc
networkmanager-strongswan for strongSwan
networkmanager-fortisslvpn-git^AUR
networkmanager-iodine-git^AUR
networkmanager-libreswan^AUR
networkmanager-l2tp^AUR
networkmanager-ssh-git^AUR
network-manager-sstp

警告: VPN サポートは不安定です。GUI からデーモンプロセスのオプションが正しく設定されていることを確認して、パッケージがリリースされるたびに再確認してください [2]。

Mobile broadband support

モバイル回線に接続するためには、modemmanagerか mobile-broadband-provider-info 、または usb_modeswitch をインストールしてください。詳しくは USB 3G モデム#Network Manager を確認してください。

PPPoE / DSL サポート

PPPoE / DSL 接続のサポートが必要な場合は rp-pppoe をインストールしてください。実際に使うためには、nm-connection-editor から新しい DSL/PPPoE 接続を追加してください。

使い方

NetworkManager には nmcli(1) と nmtui(1) が付属しています。

nmcli 例

近くの Wi-Fi ネットワークを一覧表示します:

$ nmcli device wifi list

Wi-Fi ネットワークに接続します:

$ nmcli device wifi connect SSID_or_BSSID password password

非表示の Wi-Fi ネットワークに接続します:

$ nmcli device wifi connect SSID_or_BSSID password password hidden yes

wlan1 インターフェイスで Wi-Fi に接続します:

$ nmcli device wifi connect SSID_or_BSSID password password ifname wlan1 profile_name

インターフェイスを切断します。:

$ nmcli device disconnect ifname eth0

名前、UUID、タイプ、バッキングデバイスを含む接続のリストを取得します:

$ nmcli connection show

接続を有効にします (つまり、既存のプロファイルでネットワークに接続します):

$ nmcli connection up name_or_uuid

接続を削除します。:

$ nmcli connection delete name_or_uuid

ネットワークデバイスとその状態のリストを表示します:

$ nmcli device

Wi-Fi をオフにします:

$ nmcli radio wifi off

接続を編集する

設定の包括的なリストについては、nm-settings(5) を参照してください。

まず、接続のリストを取得する必要があります:

$ nmcli connection

NAME                UUID                                  TYPE      DEVICE
Wired connection 2  e7054040-a421-3bef-965d-bb7d60b7cecf  ethernet  enp5s0
Wired connection 1  997f2782-f0fc-301d-bfba-15421a2735d8  ethernet  enp0s25
MY-HOME-WIFI-5G     92a0f7b3-2eba-49ab-a899-24d83978f308  wifi       --

ここでは、後で使用する接続 ID として最初の列を使用できます。この例では、有線接続 2 を接続 ID として選択します。

作成後に接続 Wired connection 2 を設定するには、次の3つの方法があります。

nmcli 対話型エディター: nmcli connection edit 'Wired connection 2'.
使用法は、エディターから十分に文書化されています。

nmcli コマンドラインインターフェイス: nmcli connection modify 'Wired connection 2' setting.property value. 使用方法については nmcli(1) を参照してください。たとえば、nmcli connection modify 'Wired connection 2' ipv4.route-metric 200 コマンドを使用して、IPv4 ルートメトリックを 200 に変更できます。

設定を削除するには、次のように空のフィールド ("") を渡します。

nmcli connection modify 'Wired connection 2' setting.property ""

接続ファイル: /etc/NetworkManager/system-connections/ で、対応する Wired connection 2.nmconnection ファイルを変更します。
で設定ファイルをリロードすることを忘れないでください。nmcli connection reload

グラフィカルフロントエンド

NetworkManager を簡単に使えるようにするためのアプレットをインストールすることができます。この GUI フロントエンドはシステムトレイ(や通知エリア)に収納され、NetworkManager のネットワーク選択や設定が可能です。異なるデスクトップにあわせて様々なアプレットが存在します。その他に #nm-applet を使うこともできます。

GNOME

GNOME にはツールが内蔵されており、ネットワーク設定からアクセスできます。

KDE Plasma

plasma-nm アプレットをインストールしてください。

nm-applet

network-manager-applet は、システムトレイのある Xorg 環境で動作する GTK3 フロントエンドです。

接続シークレットを保存するには、GNOME/Keyring をインストールして設定します。

接続のためのチェックボックスオプション Make available to other users を有効にすると、NetworkManager はパスワードを平文で保存しますが、それぞれのファイルには root (または nm-applet を介して他のユーザ) しかアクセスできなくなりますので、注意してください。Wi-Fi パスワードの暗号化を参照してください。

systray なしで nm-applet を実行するには、trayer または stalonetray を使用できます。たとえば、次のようなスクリプトをパスに追加できます。

nmgui

#!/bin/sh
nm-applet    2>&1 > /dev/null &
stalonetray  2>&1 > /dev/null
killall nm-applet

stalonetray ウィンドウを閉じると、nm-applet も閉じられるため、ネットワーク設定が完了したら、余分なメモリを使用しません。

アプレットは、WiFi ネットワークへの接続や切断などのイベントに対する通知を表示できます。これらの通知を表示するには、通知サーバーがインストールされていることを確認してください - デスクトップ通知を参照してください。通知サーバーなしでアプレットを使用すると、stdout/stderr にいくつかのメッセージが表示され、アプレットがハングアップすることがあります。 [3] を参照してください。

このような通知を無効にして nm-applet を実行するには、次のコマンドでアプレットを開始します。

$ nm-applet --no-agent

ヒント: nm-applet は、自動起動デスクトップファイルで自動的に開始される場合があります。--no-agent オプションを追加して、そこで Exec 行を変更します。

Exec=nm-applet --no-agent

警告: i3 において、nm-applet を --no-agent オプションで起動すると、パスワード入力がないため項目一覧をクリックしても暗号化された新しい WiFi ネットワークに接続できません。ダイアログウィンドウが飛び出します。journal は no secrets: No agent was available for this request と表示されます。

Appindicator

バージョン 1.18.0 の時点で、Appindicator のサポートは利用可能であり、公式の network-manager-applet パッケージにあります。Appindicator 環境で nm-applet を使用するには、次のコマンドでアプレットを起動します。

$ nm-applet --indicator

networkmanager-dmenu

networkmanager-dmenu-git^AUR があります。これは nm-applet の代わりに dmenu や rofi で NetworkManager の接続を管理するための小さなスクリプトです。既存の NetworkManager の wifi や有線接続への接続、新しい wifi 接続への接続、必要ならパスフレーズの要求、既存の VPN 接続への接続、ネットワークの有効/無効化、nm-connection-editor GUI の起動、Bluetooth ネットワークへの接続など全ての必須機能を提供しています。

設定

NetworkManager を正しく動作させるためには、いくつかの追加手順が必要です。ホストネームの設定で説明したように、/etc/hosts が設定されていることを確認してください。

NetworkManager は /etc/NetworkManager/NetworkManager.conf にグローバルな設定ファイルを持ちます。その他の設定ファイルは、/etc/NetworkManager/conf.d/に置くことができます。通常、グローバルなデフォルト値に対して設定を行う必要はありません。

設定ファイルを編集した後、実行することで変更内容を適用することができます。

NetworkManager Wait Online を有効にする

NetworkManager.service を有効にすると、ネットワークの設定を待つワンショットのシステムサービスである NetworkManager-wait-online.service も有効になります。後者は WantedBy=network-online.target を持っているので、network-online.target 自体が有効になるか、他のユニットによって引き込まれたときにのみ終了します。ネットワークが稼働した後にサービスを実行するも参照してください。

デフォルトでは NetworkManager-wait-online.service は特にネットワーク接続を待つのではなく、NetworkManager の起動が完了するのを待ちます (nm-online(1) を参照してください) ネットワークが実際に立ち上がる前に NetworkManager-wait-online.service が終了して、起動時のサービスに失敗する場合は、本体を拡張して ExecStart 行から -s を削除してください。

[Service]
ExecStart=
ExecStart=/usr/bin/nm-online -q

これによりその他の問題が発生する可能性があることに注意してください。

場合によっては、タイムアウト設定が短すぎるために、起動時にサービスが正常に開始されないことがあります。 NM_ONLINE_TIMEOUT を 60 からより高い値に編集して下さい。

PolicyKit のパーミッションをセットアップする

デフォルトでは、アクティブなローカルセッションのユーザは全員パスワード無しでほぼ全てのネットワーク設定を変更することができます。セッションの種類を確認するには、一般的なトラブルシューティング#セッションのパーミッションを見てください。ほとんどの場合、特に設定しなくても全て動作するはずです。

一部のアクション (システムのホスト名を変更するなど) においては、管理者のパスワードが必要です。そのような場合、自身のユーザを wheel グループに追加し、パスワードのプロンプトを表示する Polkit の認証エージェントを実行する必要があります。

リモートセッションの場合 (例えば、ヘッドレス VNC)、NetworkManager を使用するために必要な特権を得る方法は複数あります:

自身を wheel グループに追加する。アクションの度にパスワードを入力する必要があります。注意点として、wheel グループに追加すると他の権限 (root パスワードを入力せずに sudo を実行できるなど) も付与される場合があります。
自身を network グループに追加し、以下の内容で /etc/polkit-1/rules.d/50-org.freedesktop.NetworkManager.rules を作成する:
```
polkit.addRule(function(action, subject) {
  if (action.id.indexOf("org.freedesktop.NetworkManager.") == 0 && subject.isInGroup("network")) {
    return polkit.Result.YES;
  }
});
```
network グループ内の全ユーザがパスワード無しでネットワークの追加と削除を行えるようになります (これは、Polkit 認証エージェントを実行する必要がないことを意味します。なので、この方法は SSH セッションでも使えます。)。

プロクシ設定

NetworkManager は直接プロクシ設定を扱いませんが、GNOME や KDE を使っている場合、NetworkManager の情報を使ってプロクシ設定を管理する proxydriver を使うことができます。AUR の proxydriver^AUR パッケージを探して下さい。

proxydriver でプロクシ設定を変更できるようにするには、GNOME スタートアッププロセスの一部として、次のコマンドを実行する必要があります (System -> Preferences -> Startup Applications):

xhost +si:localuser:your_username

参照: プロキシ設定

接続の確認

NetworkManager は、ネットワークに接続した後に Web サーバーにアクセスして、たとえばキャプティブポータルの背後にあるかどうかを判断できます。デフォルトのホスト (/usr/lib/NetworkManager/conf.d/20-connectivity.conf で設定) は ping.archlinux.org (CNAME エイリアス redirect.archlinux.org の) 別の Web サーバーを使用するか、接続チェックを無効にするには、/etc/NetworkManager/conf.d/20-connectivity.conf を作成します。NetworkManager.conf(5) § CONNECTIVITY SECTION を参照してください。以下は GNOME サーバーを使用する例です (GNOME を使用する必要はありません):

/etc/NetworkManager/conf.d/20-connectivity.conf

[connectivity]
uri=http://nmcheck.gnome.org/check_network_status.txt

NetworkManager の接続チェックを無効にするには、次の構成を使用します。これは、接続チェックをブロックする VPN に接続している場合に役立ちます。

/etc/NetworkManager/conf.d/20-connectivity.conf

[connectivity]
enabled=false

ノート: 自動接続チェックはプライバシーリークの可能性がありますが、Arch Linux のデフォルトの接続 URL はアクセスをログに記録しないように設定されています。[4] [5] を参照してください。

キャプティブポータル

この記事あるいはセクションで使われている用語や表現には問題が存在します。

議論: Complex scripts should not be maintained on the wiki. (議論: トーク:NetworkManager#)

キャプティブポータルの背後にいるユーザーの場合、デスクトップマネージャーは資格情報を求めるウィンドウを自動的に開くことがあります。デスクトップにない場合は、capnet-assist パッケージを使用できます (ただし、現在、NetworkManager dispatcher スクリプトが壊れています) または、次の内容で NetworkManager dispatcher スクリプトを作成することもできます。

/etc/NetworkManager/dispatcher.d/90-open_captive_portal

#!/bin/sh -e
# Script to dispatch NetworkManager events
#
# Runs shows a login webpage on walled garden networks.
# See NetworkManager(8) for further documentation of the dispatcher events.

PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

if [ -x "/usr/bin/logger" ]; then
    logger="/usr/bin/logger -s -t captive-portal"
else
    logger=":"
fi

wait_for_process() {
    PNAME=$1
    while [ -z "$(/usr/bin/pgrep $PNAME)" ]; do
        sleep 3;
    done
}

#launch the browser, but on boot we need to wait that nm-applet starts
start_browser() {
    local user="$1"
    local display="$2"

    export DISPLAY="$display"
    wait_for_process nm-applet

    export XAUTHORITY="/home/$user/.Xauthority"

    $logger "Running browser as '$user' with display '$display' to login in captive portal"
    sudo -u "$user" --preserve-env=DISPLAY,XAUTHORITY -H xdg-open http://capnet.elementary.io 2>&1 > /dev/null
}

# Run the right scripts
case "$2" in
    connectivity-change)
    $logger -p user.debug "dispatcher script triggered on connectivity change: $CONNECTIVITY_STATE"
    if [ "$CONNECTIVITY_STATE" = "PORTAL" ]; then
        # Match last column of who's output with ' :[at least one digit] '
        who | awk '$NF ~ /\(:[0-9]+\)/ { print $1 " " substr($NF, 2, length($NF)-2) };' | \
        while read user display; do
            start_browser $user $display || $logger -p user.err "Failed for user: '$user' display: '$display'"
        done
    fi
    ;;
    *)
    # In a down phase
    exit 0
    ;;
esac

これを機能させるには、NetworkManager.service を再起動する必要があります。これを行うと、キャプティブポータルの背後にいることが検出されると、dispatcher スクリプトがログインウィンドウを開くはずです。

別の解決策は、Google Chrome に基づく captive-browser-git^AUR です。

DHCP client

NetworkManager はデフォルトでは DHCP クライアントは内部のものを使います。DHCPv4 プラグインは nettools' n-dhcp4 ライブラリが基になっていて、DHCPv6 プラグインは systemd-networkd のコードが基となっています。

NetworkManager は他の DHCP クライアントを使うことができ、そのためには次の好きな方をインストールしてください:

dhclient - ISCの DHCP クライアント
dhcpcd - dhcpcd

ノート:

NetworkManager は、 dhcpcd を IPv6 のために使うことを、サポートしていません (詳しくは NetworkManager issue #5 )。DHCP クライアントとして dhcpcd を設定している場合には、 DHCPv6 内部のクライアントを使います。
NetworkManager はdhcpcd のバージョン 9.0.0 以上をサポートしなくなりました。詳細は FS#66231 を見てください。
dhclient や dhclient が提供する systemd ユニットを有効にしないでください。NetworkManager と干渉します。

DHCP クライアントのバックエンドを変えたい場合は、/etc/NetworkManager/conf.d/ にある設定ファイルで main.dhcp=dhcp_client_name を設定してください。例:

/etc/NetworkManager/conf.d/dhcp-client.conf

[main]
dhcp=dhclient

DNS の管理

NetworkManager の DNS 管理については、GNOME プロジェクトの wiki ページ Projects/NetworkManager/DNS で説明されています。

DNS キャッシングと条件付きフォワーディング

NetworkManager には、dnsmasq または systemd-resolved このセットアップの利点は、DNS ルックアップがキャッシュされ、解決時間が短縮され、VPN ホストの DNS ルックアップが関連する VPN の DNS サーバーにルーティングされることです。これは、複数の VPN に接続している場合に特に便利です。

ノート: /etc/resolv.conf が /run/systemd/resolve/stub-resolv.conf へのシンボリックリンクの場合、/run/systemd/resolve/resolv.conf 、/lib/systemd/resolv.conf または /usr/lib/systemd/resolv.conf の場合、NetworkManager は systemd-resolved を自動的に選択します。dnsmasq を使用するには、まずそのシンボリックリンクを削除してから、NetworkManager を再起動する必要があります。

dnsmasq

dnsmasq がインストールされていることを確認します。次に、/etc/NetworkManager/conf.d/ の設定ファイルを使用して main.dns=dnsmasq を設定します。

/etc/NetworkManager/conf.d/dns.conf

[main]
dns=dnsmasq

次に、root として nmcli general reload を実行します。 NetworkManager は自動的に dnsmasq を起動し、 /etc/resolv.conf に 127.0.0.1 を追加します。元の DNS サーバは /run/NetworkManager/no-stub-resolv.conf にあります。 dnsmasq が使用されていることを確認するには、 drill example.com を使用して同じ DNS ルックアップを2回実行し、サーバーとクエリの時間を確認します。

ノート:

dnsmasq.service を起動したり、 /etc/dnsmasq.conf を編集したりする必要はありません。 NetworkManager は、 systemd サービスを使用せず、dnsmasq のデフォルト設定ファイルを読み込まずに dnsmasq を起動します。
NetworkManager によって起動された dnsmasq インスタンスは 127.0.0.1:53 にバインドされます。同じアドレスとポートで他のソフトウェア (dnsmasq.service を含む) を実行することはできません。

カスタム dnsmasq 設定

/etc/NetworkManager/dnsmasq.d/ に設定ファイルを作成することで、dnsmasq のカスタム設定を作成できます。たとえば、DNS キャッシュ (RAM に格納されている) のサイズを変更するには、次のようにします。

/etc/NetworkManager/dnsmasq.d/cache.conf

cache-size=1000

設定ファイルの構文は、次の方法で確認できます:

$ dnsmasq --test --conf-file=/dev/null --conf-dir=/etc/NetworkManager/dnsmasq.d

利用可能なすべてのオプションについては、dnsmasq(8) を参照してください。

IPv6

この記事またはセクションの正確性には問題があります。

理由: This does not solve the issue because NetworkManager does not add ::1 to /etc/resolv.conf. Unless @::1 is manually passed to drill, it will still fail with Error: error sending query: No (valid) nameservers defined in the resolver. (議論: トーク:NetworkManager#)

NetworkManager で dnsmasq を有効にすると、IPv6 のみの DNS ルックアップ (drill -6 [hostname]) が機能しなくなる可能性があります。これを解決するために、次のファイルを作成すると、dnsmasq が IPv6 ループバックもリッスンするように構成されます。

/etc/NetworkManager/dnsmasq.d/ipv6-listen.conf

listen-address=::1

さらに、dnsmasq も上流の IPv6 DNS を優先しません。残念ながら、NetworkManager はこれを行いません (Ubuntu のバグ) 回避策は、IPv4 DNS が存在すると仮定して、NetworkManager 設定で IPv4 DNS を無効にすることです。

DNSSEC

NetworkManager によってデフォルトで開始される dnsmasq インスタンスは、--proxy-dnssec オプションで開始されるため、DNSSEC を検証しません。上流の DNS サーバーから取得した DNSSEC 情報はすべて信頼します。

dnsmasq が DNSSEC を適切に検証し、DNS 解決をサポートしていないネームサーバーで解決できないようにするには、次の設定ファイルを作成します:

/etc/NetworkManager/dnsmasq.d/dnssec.conf

conf-file=/usr/share/dnsmasq/trust-anchors.conf
dnssec

systemd-resolved

NetworkManager は、 systemd-resolved を DNS リゾルバおよびキャッシュとして使用できます。使用する前に、 systemd-resolved が正しく設定され、systemd-resolved.service がスタートしてることを確認してください。

/etc/resolv.conf が symlink から /run/systemd/resolve/stub-resolv.conf、 /run/systemd/resolve/resolv.conf、または /usr/lib/systemd/resolv.conf に設定されている場合は、自動的に systemd-resolved が使用されます。

main.dns=systemd-resolved を /etc/NetworkManager/conf.d/ 設定すると、明示的に有効にできます。

/etc/NetworkManager/conf.d/dns.conf

[main]
dns=systemd-resolved

openresolv サブスクライバーを持つ DNS リゾルバー

openresolv にローカルの DNS リゾルバの加入者がいる場合は、加入者と openresolv を使用するように NetworkManager を設定を設定します。

NetworkManager は単一の インターフェース を resolvconf にアドバタイズするため、2つの NetworkManager 接続間で条件付き転送を実装することはできません。NetworkManager issue 153 を参照してください。

これは、設定により部分的に軽減できます private_interfaces="*" /etc/resolvconf.conf [6] 検索ドメインリストにないドメインのクエリは転送されません。それらは、ローカルリゾルバーの構成に従って処理されます。たとえば、別の DNS サーバーに転送されるか、DNS ルートから再帰的に解決されます。

カスタム DNS サーバー

カスタムグローバル DNS サーバーの設定

すべての接続に DNS サーバーを設定するには、構文 servers=serveripaddress1,serveripaddress2,serveripaddress3 を使用して NetworkManager.conf(5) で指定します。 [global-dns-domain-*] という名前のセクションにあります。例えば:

/etc/NetworkManager/conf.d/dns-servers.conf

[global-dns-domain-*]
servers=::1,127.0.0.1

ノート:

NetworkManager の dnsmasq または systemd-resolved プラグインまたは openresolv サブスクライバーを使用する場合、servers= オプションを使用すると、DNS 解決が壊れる可能性があります。
指定されたサーバーは systemd-resolved に送信されず、代わりに接続の DNS サーバーが使用されます。

接続でのカスタム DNS サーバーの設定

接続でのカスタム DNS サーバーの設定 (GUI)

セットアップは、使用するフロントエンドのタイプによって異なります。このプロセスでは通常、アプレットを右クリックし、プロファイルを編集 (または作成) し、DHCP タイプを [自動 (アドレスを指定)] として選択します。 DNS アドレスを入力する必要があり、通常は 127.0.0.1, DNS-server-one, ... の形式です。

接続でのカスタム DNS サーバーの設定 (nmcli/接続ファイル)

接続ごとに DNS サーバーを設定するには、接続設定の dns フィールド (と関連する dns-search と dns-options) を利用できます。

method が auto に設定されている場合 (DHCP を使用する場合)、ignore-auto-dns を yes に設定する必要があります。

/etc/resolv.conf

NetworkManager の /etc/resolv.conf 管理モードは、main.rc-manager 設定で構成されています。networkmanager は、アップストリームのデフォルト auto ではなく、symlink に設定します。設定とその値は NetworkManager.conf(5) man ページに記載されています。

ヒント: openresolv を使用すると、NetworkManager は他の "resolvconf" サポートソフトウェアと共存できます。たとえば、openresolv が subscriber を持つローカル DNS キャッシングおよび分割 DNS リゾルバーを実行できます。openresolv で NetworkManager を使用する場合、条件付き転送はまだ完全にはサポートされていませんであることに注意してください。

NetworkManager は、ネットワークの変更後に /etc/resolv.conf を変更するために使用できる、いわゆる dispatcher スクリプトを介したフックも提供します。詳細については、NetworkManager#NetworkManager dispatcher を使用したネットワークサービスと NetworkManager(8) を参照してください。

ノート:

NetworkManager が dnsmasq または systemd-resolved のいずれかを使用するように設定されている場合、適切なループバックアドレスが /etc/resolv.conf に書き込まれます。
NetworkManager が /etc/resolv.conf に書き込む、resolv.conf ファイルは、/run/NetworkManager/resolv.conf にあります。
取得したネームサーバーと検索ドメインを含む resolv.conf ファイルは、/run/NetworkManager/no-stub-resolv.conf にあります。

管理対象外の /etc/resolv.conf

NetworkManager が /etc/resolv.conf に干渉しないようにするには、/etc/NetworkManager/conf.d/ の設定ファイルで main.dns=none を設定します。

/etc/NetworkManager/conf.d/dns.conf

[main]
dns=none

ヒント: NetworkManager が DNS 設定を systemd-resolved に送信しないように、main.systemd-resolved=false を設定することもできます。

ノート: DNS キャッシングと条件付き転送を参照して、NetworkManager を main.dns=none ではなく、 dnsmasq や systemd-resolved などの他の DNS バックエンドを使用して設定してください。

その後、 /etc/resolv.conf は壊れたシンボリックリンクになるかもしれませんので、削除する必要があります。次に、新しい /etc/resolv.conf ファイルを作成します。

openresolv を使用

ヒント: NetworkManager は、/etc/resolv.conf が不変であるか、システムの resolv.conf ファイルの一つへのシンボリックリンクでない限り、自動的に resolvconf を使います。

ノート: NetworkManager は、 systemd-resolvconf によって提供される system-resolved の resolvconf インターフェイス resolvectl COMPATIBILITY WITH RESOLVCONF(8) の使用をサポートしていません。

systemd-resolved を使用する場合は、 main.rc-manager=resolvconf を設定せず、 /etc/resolv.conf へのシンボリックリンクを正しく作成します。または NetworkManager を構成して、明示的に systemed-resolved を使用する設定してください。
systemd-resolvconf を使用しない場合は、 systemd-resolvconf パッケージがインストールされていないことを確認してください。 systemd-resolved.service を起動しないと、 resolvconf を使用するすべてのネットワークソフトウェア (NetworkManager だけでなく) が動作しなくなります。

openresolv を使用するように NetworkManager を明示的に設定するには、 main.rc-manager=resolvconf を /etc/NetworkManager/conf.d/ の設定ファイルで設定します。

/etc/NetworkManager/conf.d/rc-manager.conf

[main]
rc-manager=resolvconf

ファイアウォール

現在の接続に基づいて firewalld ゾーンを割り当てることができます。たとえば、職場では制限の厳しいファイアウォールを使用し、自宅では制限の少ないファイアウォールを使用します。

これは、NetworkManager dispatcher でも実行できます。

NetworkManager dispatcher を使用したネットワークサービス

NetworkManager がインターフェースを起動するまで実行したくないネットワークサービスがかなりあります。NetworkManager には、ネットワークに接続したときにサービスを開始し、切断したときにサービスを停止する機能があります (NFS、SMB、および NTPd など)

この機能を有効にするには、NetworkManager-dispatcher.service を有効化および起動する必要があります。

サービスがアクティブになると、スクリプトを /etc/NetworkManager/dispatcher.d ディレクトリに追加できます。

スクリプトは root によって所有されている必要があります。そうでない場合、dispatcher はスクリプトを実行しません。セキュリティを強化するために、グループ所有権も root に設定します。

# chown root:root /etc/NetworkManager/dispatcher.d/10-script.sh

ファイルが実行可能属性であることを確認してください。

スクリプトは、接続時にはアルファベット順で実行され、切断時にはアルファベットの逆順で実行されます。それらがどのような順序で表示されるかを確認するために、スクリプト名の前に数字を使用するのが一般的です (例:10-portmap または 30-netfs) "ポートマッパー" は、NFS マウントが試行される前に稼働しています。)

スクリプトは次の引数を受け取ります。:

インターフェイス名: 例えば eth0
Action: up, down, vpn-up, vpn-down, ... (参照 NetworkManager(8) 完全なリストについては)

警告: 外部ネットワークまたはパブリックネットワークに接続する場合は、開始しようとしているサービスと、それらのサービスが接続できると予想されるサーバーに注意してください。パブリックネットワークに接続しているときに間違ったサービスを開始すると、セキュリティホールが生じる可能性があります

dispatcher タイムアウトの回避

上記が動作している場合、このセクションは関係ありません。しかし、dispatcher スクリプトの実行に関連する一般的な問題があり、実行に時間がかかります。当初は、3秒間の内部タイムアウトのみが使用されていました。呼び出されたスクリプトが時間内に完了しない場合、スクリプトは強制終了されました。その後、タイムアウトは約20秒に延長されました (詳しくは Bugtracker をご覧ください) タイムアウトがまだ問題を引き起こしている場合、NetworkManager-dispatcher.service が終了後もアクティブであるようにドロップインファイルを使用することで回避できるかもしれません。

/etc/systemd/system/NetworkManager-dispatcher.service.d/remain_after_exit.conf

[Service]
RemainAfterExit=yes

変更した NetworkManager-dispatcher サービスを開始して有効にします。

警告: RemainAfterExit 行を追加すると、dispatcher が閉じなくなります。残念ながら、スクリプトを再度実行する前に、dispatcher を 終了する必要があります これにより、dispatcher はタイムアウトしませんが、閉じません。つまり、スクリプトは起動ごとに 1 回しか実行されません。したがって、タイムアウトが問題を引き起こしていることが明らかでない限り、この行を追加しないでください。

Dispatcher 例

リモートフォルダを sshfs でマウント

スクリプトは制限的な環境で実行されるので、SSH エージェントに接続するには SSH_AUTH_SOCK を export する必要があります。複数の方法が存在します、詳しくはこのメッセージを見て下さい。以下の例は GNOME Keyring と一緒に動作し、ロックが解除されていない場合にパスワードを尋ねます。NetworkManager がログイン時に自動的に接続する場合は、gnome-keyring は起動せず export は失敗します。UUID は nmcli con status や nmcli con list コマンドで確認できます。

#!/bin/sh
USER='username'
REMOTE='user@host:/remote/path'
LOCAL='/local/path'

interface=$1 status=$2
if [ "$CONNECTION_UUID" = "uuid" ]; then
  case $status in
    up)
      # sleep 10
      SSH_AUTH_SOCK=$(find /tmp -maxdepth 1 -type s -user "$USER" -name 'ssh')
      export SSH_AUTH_SOCK
      su "$USER" -c "sshfs $REMOTE $LOCAL"
      ;;
    down)
      fusermount -u "$LOCAL"
      ;;
  esac
fi

SMB 共有のマウント

一部の SMB 共有は、特定のネットワークまたは場所 (自宅など) でのみ利用できます。dispatcher を使用して、現在の場所に存在する SMB 共有のみをマウントできます。

次のスクリプトは、特定のネットワークに接続しているかどうかを確認し、それに応じて共有をマウントします。

/etc/NetworkManager/dispatcher.d/30-mount-smb.sh

#!/bin/sh

# Find the connection UUID with "nmcli connection show" in terminal.
# All NetworkManager connection types are supported: wireless, VPN, wired...
if [ "$2" = "up" ]; then
  if [ "$CONNECTION_UUID" = "uuid" ]; then
    mount /your/mount/point & 
    # add more shares as needed
  fi
fi

次のスクリプトは、ソフトウェアによって開始された特定のネットワークからの切断前に、すべての SMB 共有をマウント解除します。

/etc/NetworkManager/dispatcher.d/pre-down.d/30-umount-smb.sh

#!/bin/sh

if [ "$CONNECTION_UUID" = "uuid" ]; then
  umount -a -l -t cifs
fi

ノート: 上記のように、このスクリプトが pre-down.d サブディレクトリにあることを確認してください。そうしないと、接続状態の変更時にすべての共有がアンマウントされます

次のスクリプトは、特定のネットワークから予期せず切断された後、すべての SMB 共有をアンマウントしようとします。

/etc/NetworkManager/dispatcher.d/40-umount-smb.sh

#!/bin/sh

if [ "$CONNECTION_UUID" = "uuid" ]; then
  if [ "$2" = "down" ]; then
    umount -a -l -t cifs
  fi
fi

ノート:

NetworkManager 0.9.8以降、pre-down および down イベントはシャットダウンまたは再起動時に実行されません。このバグレポートを参照してください。
以前の umount スクリプトは、実際にマウントにアクセスしているアプリケーションを ハング させたままにする傾向があります。

別の方法として、NFS# NetworkManager dispatcher にあるスクリプトを使用する方法があります。

/etc/NetworkManager/dispatcher.d/30-smb.sh

#!/bin/sh

# ターミナルで "nmcli con show "を使って接続の UUID を確認する
# NetworkManager の全ての接続タイプに対応しています: 無線、VPN、有線...
WANTED_CON_UUID="CHANGE-ME-NOW-9c7eff15-010a-4b1c-a786-9b4efa218ba9"

if [ "$CONNECTION_UUID" = "$WANTED_CON_UUID" ]; then
    
    # Script parameter $1: network interface name, not used
    # Script parameter $2: dispatched event
    
    case "$2" in
        "up")
            mount -a -t cifs
            ;;
        "down"|"pre-down"|"vpn-pre-down")
            umount -l -a -t cifs >/dev/null
            ;;
    esac
fi

ノート: このスクリプトは、noauto オプションを指定したマウントを無視します。このマウントオプションを削除するか、auto を使用して、dispatcher がこれらのマウントを管理できるようにします。

/etc/NetworkManager/dispatcher.d/pre-down/ 内にシンボリックリンクを作成して、pre-down イベントをキャッチします。

# ln -s ../30-smb.sh /etc/NetworkManager/dispatcher.d/pre-down.d/30-smb.sh

NFS 共有のマウント

参照 NFS#NetworkManager dispatcher

dispatcher を使って LAN ケーブルが接続されているかどうかに応じて自動的に Wi-Fi を切り替える

LAN ケーブルが接続されていない場合にのみ Wi-Fi をオンにして、LAN ケーブルが接続されたら (ノートパソコンがドックに接続された場合など) Wi-Fi を自動的に無効化することができます。

次のdispatcher スクリプトを作成します。 [7], LAN_interface あなたの環境に置き換えて下さい。

コンピュータが最後にオンのときに LAN インターフェイスが接続され、コンピュータがオフのときに切断された場合には、フェイルセーフがあることに注意してください。これは、コンピューターの電源を入れ直しても無線がオフのままであることを意味し、LAN インターフェースが切断されていると、ネットワークが存在しなくなります。

/etc/NetworkManager/dispatcher.d/wlan_auto_toggle.sh

#!/bin/sh

if [ "$1" = "LAN_interface" ]; then
    case "$2" in
        up)
            nmcli radio wifi off
            ;;
        down)
            nmcli radio wifi on
            ;;
    esac
elif [ "$(nmcli -g GENERAL.STATE device show LAN_interface)" = "20 (unavailable)" ]; then
    nmcli radio wifi on
fi

ノート: インターフェイスは nmcli で確認できます。有線 (LAN) インターフェイスは先頭が en となります。例: enp0s5

dispatcher を使ってネットワーク接続が確立された後に VPN に接続する

この例では特定の WiFi ネットワークの接続後に予め定義した VPN に自動的に接続します。最初にネットワークに接続した後にすることを定義した dispatcher スクリプトを作成する必要があります。

1. dispatcher スクリプトを作成:

/etc/NetworkManager/dispatcher.d/vpn-up

#!/bin/sh
VPN_NAME="name of VPN connection defined in NetworkManager"
ESSID="Wi-Fi network ESSID (not connection name)"

interface=$1 status=$2
case $status in
  up|vpn-down)
    if iwgetid | grep -qs ":\"$ESSID\""; then
      nmcli con up id "$VPN_NAME"
    fi
    ;;
  down)
    if iwgetid | grep -qs ":\"$ESSID\""; then
      if nmcli con show --active | grep "$VPN_NAME"; then
        nmcli con down id "$VPN_NAME"
      fi
    fi
    ;;
esac

全ての Wi-Fi ネットワークで VPN の接続を自動的にして欲しい場合は、ESSID は次のように定義します: ESSID=$(iwgetid -r)。上述のようにスクリプトのパーミッションを忘れずに設定してください。

nm-applet の Make the VPN connection available to all users オプションを有効にしている場合、接続が失敗して NetworkManager が 'no valid VPN secrets' と表示することがあります (VPN の接続情報の保存方法が問題です)。その場合、以下を試してみてください:

2. VPN の接続ファイルを編集して NetworkManager が接続情報をキーリングではなく自分で保存するようにしてください [8]: /etc/NetworkManager/system-connections/name of your VPN connection を開いて password-flags と secret-flags を 1 から 0 に変更します。

もしくは設定ファイルに vpn-secrets セクションを追加して直接パスワードを記述します:

 [vpn]
 ....
 password-flags=0
 
 [vpn-secrets]
 password=your_password

ノート: NetworkManager 接続エディタを開き、VPN パスワード/シークレットを再度保存する必要があります。

Dispatcher を使用して VPN プロバイダー接続で IPv6 を無効にする

多くの VPN プロバイダー IPv4 のみをサポートします。つまり、すべての IPv6 トラフィックが VPN をバイパスし、実質的に役に立たなくなります。これを回避するために、dispatcher を使用して、VPN 接続がアップしている間、すべての IPv6 トラフィックを無効にすることができます。

/etc/NetworkManager/dispatcher.d/10-vpn-ipv6

#!/bin/sh

case "$2" in
	vpn-up)
		echo 1 > /proc/sys/net/ipv6/conf/all/disable_ipv6
		;;
	vpn-down)
		echo 0 > /proc/sys/net/ipv6/conf/all/disable_ipv6
		;;
esac

OpenNTPD

参照 OpenNTPD#Using NetworkManager dispatcher

systemd-timesyncd で DHCP 経由で受信した NTP サーバーを動的に設定する

異なるネットワーク (会社の LAN、自宅の WiFi、その他のさまざまな WiFi など) 間でローミングする場合、timesyncd が使用する NTP サーバーを DHCP が提供するものに設定したい場合があります。ただし、NetworkManager 自体は systemd-timesyncd と通信して NTP サーバーを設定することはできません。

dispatcher はそれを回避できます。

systemd-timesyncd の設定ファイル /etc/systemd/timesyncd.conf.d のオーバーレイディレクトリがまだ存在しない場合。/etc/NetworkManager/dispatcher.d 内に、次のように記述し作成します。

/etc/NetworkManager/dispatcher.d/10-update-timesyncd

#!/bin/sh

[ -z "$CONNECTION_UUID" ] && exit 0
INTERFACE="$1"
ACTION="$2"

case $ACTION in
up | dhcp4-change | dhcp6-change)
    [ -n "$DHCP4_NTP_SERVERS" ] || exit
    mkdir -p /etc/systemd/timesyncd.conf.d
    cat <<-THE_END >"/etc/systemd/timesyncd.conf.d/${CONNECTION_UUID}.conf"
        [Time]
        NTP=$DHCP4_NTP_SERVERS
    THE_END
    systemctl restart systemd-timesyncd.service
    ;;
down)
    rm -f "/etc/systemd/timesyncd.conf.d/${CONNECTION_UUID}.conf"
    systemctl restart systemd-timesyncd.service
    ;;
esac

NetworkManager が新しいネットワーク接続を設定する (ACTION=up) か、既存の接続の更新を取得する (ACTION=dhcp4-change または ACTION=dhcp6-change) 度、接続データに NTP サーバ (DHCP4_NTP_SERVERS) に関する情報が含まれていると、接続固有のオーバーレイ設定ファイルが、/etc/systemd/timesyncd.conf/folder/d に書き込まれ、このファイルには、提供された NTP サーバ (1台または複数) の情報が記述されます。提供された NTP サーバが含まれます。接続が停止される (ACTION=down) と、接続固有のオーバーレイファイルは削除されます。systemd-timesyncd の設定が変更されるたびに、サービスは再起動され、更新された設定を取得します。NetworkManager で 2つ以上の接続を並行して管理する場合、up, dhcp4-change, dhcp6-change, down アクションが任意の順序で来るので、設定内の異なる NTP サーバ名が上書きされないように接続固有の設定ファイルを意図的に使用しています。

テスト

ログイン時に NetworkManager アプレットがロードされるようになっているので、ほとんどの場合さらに設定をする必要はありません。既に前のネットワーク設定を無効にしてネットワークから切断している場合、NetworkManager が動作するかどうかテストすることができます。まず NetworkManager.service を起動してください。

アプレットは .desktop ファイルを提供するので、NetworkManager アプレットはアプリケーションメニューからロードすることができます。アプレットがない場合、コマンドを探すか、一度ログアウトしてからログインしなおしてアプレットを起動してください。アプレットが起動すれば、DHCP サーバーの自動設定によってネットワーク接続のポーリングを開始します。

Awesome などの xdg 非互換のウィンドウマネージャで GNOME アプレットを起動するには:

nm-applet --sm-disable &

固定 IP を使うには NetworkManager を設定する必要があります。アプレットを右クリックして 'Edit Connections' などを選択してください。

ヒントとテクニック

Wi-Fi パスワードの暗号化

デフォルトでは NetworkManager は /etc/NetworkManager/system-connections/ に存在する接続ファイルに平文でパスワードを保存します。保存されているパスワードを表示するには、以下のコマンドを実行:

# grep -H '^psk=' /etc/NetworkManager/system-connections/*

パスワードにアクセスできるのは root ユーザーだけであり通常ユーザーは GUI の設定からアクセスできます (例: nm-applet)。

平文ではなく暗号化された状態で保存することもできますが、ユーザーごとに接続の設定が必要になります。

Gnome-Keyring を使う

キーリングデーモンを起動してキーリングを解錠する必要があります。

さらに、全てのユーザーでパスワードを保存しないように NetworkManager を設定しなければなりません。GNOME の nm-applet を使う場合、ターミナルから nm-connection-editor を起動してネットワーク接続を選択し、Edit をクリックして、Wifi-Security タブからパスワードの右のアイコンをクリックして Store the password only for this user にチェックを入れてください。

KDE Wallet を使う

KDE の plasma-nm を使用して、アプレットをクリックし、右上の設定アイコンをクリックして、ネットワーク接続をクリックし、一般設定 タブで すべてのユーザーが許可 のチェックを外し、このネットワークに接続します。このオプションにチェックを入れると、キーリングデーモンが実行されていても、パスワードはクリアテキストで保存されます。

オプションが以前に選択されていて、チェックを外した場合は、最初に reset オプションを使用してパスワードをファイルから消去する必要がある場合があります。または、最初に接続を削除してから、再度設定してください。

wifi でインターネット接続を共有する

nm を使って数クリックでインターネット接続 (例: 3G または有線) を共有することができます。サポートされた wifi カードが必要になります (Atheros AR9xx や AR5xx を使っているカードがおそらく最適です。)

ファイアウォールがインターネット共有を妨害することもあるので注意してください。

AP モードをサポートする Wi-Fi カードが必要です。詳しくはソフトウェアアクセスポイント#Wi-Fi デバイスが AP モードをサポートしている必要がありますを参照してください。

dnsmasq パッケージをインストールして実際に接続を共有できるようにします。 NetworkManager は、dnsmasq.service とは関係なく、DHCP サーバーとして dnsmasq の独自のインスタンスを開始することに注意してください。注意事項については NetworkManager#dnsmasq を参照してください。

共有接続を作成します。

アプレットをクリックし、"新しいワイヤレスネットワークを作成する" を選択します。
ウィザードに従ってください (WPA2 以上を選択し、最低でも8文字の長いパスワードを使用してください。)
- Wi-Fiモードとして Hotspot または Ad-hoc のいずれかを選択します。

接続は保存され、次に必要になったときのために保存されたままになります。

ノート: Android はアドホックネットワークへの接続をサポートしていません。 Android との接続を共有するには、インフラストラクチャモードを使用します (つまり、Wi-Fi モードを "ホットスポット" に設定します。)

イーサネット経由でインターネット接続を共有する

シナリオ: お使いのデバイスは Wi-Fi 経由でインターネットに接続されており、そのインターネット接続をイーサネット経由で他のデバイスと共有したいと考えています。

要件:

実際に接続を共有できるようにするために、dnsmasq と nm-connection-editor パッケージをインストールしてください。NetworkManager は DHCP サーバとして dnsmasq.service とは独立した dnsmasq のインスタンスを起動することに注意してください。注意点については、dnsmasq を参照してください。
インターネットに接続している機器と他の機器が、適切なイーサネットケーブルで接続されていること(これは通常、クロスオーバーケーブルや間にスイッチを挟むことを意味します)
インターネット共有がファイアウォールでブロックされていないこと。

手順:

ターミナルから nm-connection-editor を実行します。
新しい Ethernet 接続を追加します。
何かわかりやすい名前をつけてください。例えば、"Shared Internet "など。
IPv4の設定 "に移動します。
"方法":で "他のコンピュータと共有" を選択します。
保存

これで、NetworkManager の有線接続の下に新しいオプション "インターネットを共有" が表示されます。

cron ジョブやスクリプトでネットワークが立ち上がっているか確認する

cron ジョブの中にはネットワークが立ち上がっている必要があるジョブもあります。ネットワークが立ち上がっていない場合はジョブを実行しないようにすることができます。そのためには、NetworkManager の nm-tool を使ってネットワークの状態を確認する if テストを追加します。インターフェイスが立ち上がっている場合はテストは通りますが、全てのインターフェイスがダウンになっている場合はテストを通過しません。無線でネットワークにつながっていたり、いなかったりするノートパソコンなどで有用です。

if [ $(nm-tool|grep State|cut -f2 -d' ') == "connected" ]; then
    #Whatever you want to do if the network is online
else
    #Whatever you want to do if the network is offline - note, this and the else above are optional
fi

上記は cron.hourly スクリプトを使って fpupdate を実行し F-Prot ウイルススキャナをアップデートしている場合などに有用です。

ログイン時に自動的に接続する

デフォルトでは、パスワードを入力しないと使えないネットワークの場合 NetworkManager は起動時に自動的に接続しません。自動的に接続するには以下の設定が必要です:

nm-applet アイコンを右クリックして Edit Connections を選択し Wireless タブを開いて下さい
使用したい接続を選択して Edit ボタンをクリックしてください
“Connect Automatically” と “Available to all users” のボックスにチェックを入れて下さい
さらに、"Wi-Fi Security" の下で、"Store password for all users (not encrypted)" が選択されていることを確認してください

一度ログアウトしてから再ログインすれば設定は完了です。

KWallet にパスワードを入力して OpenConnect

接続時に両方の値を入力できますが、plasma-nm 0.9.3.2-1 以降では KWallet から OpenConnect のユーザー名とパスワードを直接取得できます。

"KDE Wallet Manager" を開き、"Network Management|Maps" で OpenConnect VPN 接続を検索します。"値を表示" をクリックし、このフォームのキー "VpnSecrets" に資格情報を入力します (ユーザー名 とパスワード は適宜置き換えてください):

form:main:username%SEP%username%SEP%form:main:password%SEP%password

次回接続すると、ユーザー名とパスワードが "VPN シークレット" ダイアログボックスに表示されます。

特定のデバイスを無視する

時々 NetworkManager に特定のデバイスを無視してもらってアドレスやルートを設定しないのが望ましいことがあります。/etc/NetworkManager/NetworkManager.conf で以下を使うことで MAC やインターフェイス名によってデバイスを無視するよう設定できます:

[keyfile]
unmanaged-devices=mac:00:22:68:1c:59:b1;mac:00:1E:65:30:D1:C4;interface-name:eth0

これを記述した後、NetworkManager を再起動してください。設定したデバイスに触れないように NetworkManager でインターフェイスを設定できるはずです。

MAC アドレスのランダム化の設定

ノート: stable

は新しいネットワークに接続する際にランダムな MAC アドレスを生成し、その2つを恒久的に関連付けます。つまり、そのネットワークに接続するたびに同じ MAC アドレスが使用されます。一方、random は、新しいネットワークに接続するたびに、新しい MAC アドレスが生成されます。MAC ランダム化の設定は、/etc/NetworkManager/conf.d の下に希望の設定を追加することで行えます。

/etc/NetworkManager/conf.d/wifi_rand_mac.conf

[device-mac-randomization]
# "yes" がデフォルトです
wifi.scan-rand-mac-address=yes とする。

[connection-mac-randomization]
# 全てのイーサネット設定の MAC をランダム化する
ethernet.cloned-mac-address=random
# 各 WiFi に対してランダムな MAC を生成し、2つを恒久的に関連付ける。
wifi.cloned-mac-address=stable

詳細については、次の GNOME ブログ投稿を参照してください。

IPv6 プライバシー拡張を有効にする

参照 IPv6#NetworkManager

接続ごとに一意の DUID を設定する

DHCPv6 Unique Identifier (DUID) は、DHCPv6 クライアントが DHCPv6 サーバーに対して自身を識別するために使用する値です。NetworkManager は3種類の DUID をサポートしています。

DUID-UUID (RFC 6355): Universally Unique IDentifier (UUID) から生成されます。
DUID-LL (RFC 3315): リンク層アドレス (別名 MAC アドレス) から生成されます。
DUID-LLT (RFC 3315): リンク層アドレスとタイムスタンプから生成されます。

内部 NetworkManager の DHCP クライアントが使用されている場合 (デフォルト)、マシン ID (/etc/machine-id) から生成されたグローバルで永続的な DUID-UUID で自身を識別します。これは、すべての接続が同じ UUID を共有することを意味し、プライバシーの侵害となる可能性があります。

幸いなことに、NetworkManager は、接続の安定した ID とホストごとの一意のキーから派生した、接続ごとの一意の DUID を提供できます。/etc/NetworkManager/conf.d の下に次の設定を追加することで、これを有効にすることができます。

/etc/NetworkManager/conf.d/duid.conf

[connection]
ipv6.dhcp-duid=stable-uuid

stable-ll および stable-llt 値もサポートされています。詳細については、nm-settings(5) § ipv6 setting の dhcp-duid の説明を参照してください。

有線接続の操作

NetworkManager は、デフォルトで、有線イーサネット接続を検出するたびに接続プロファイルを生成します。接続を生成する時点では、利用可能なイーサネットアダプターがさらにあるかどうかはわかりません。そのため、最初の有線接続を "有線接続1" と呼びます。この接続を生成しないようにするには、no-auto-default を設定します。(NetworkManager.conf(5) を参照)、または単純に削除することで、この接続を生成しないようにすることができます。そうすれば、NetworkManager はこのインターフェイスの接続を二度と生成しないように記憶します。

また、接続を編集 (およびディスクに永続化) したり、削除したりすることもできます。NetworkManager は新しい接続を再生成することはありません。それから、名前を好きなものに変更することができます。この作業には nm-connection-editor などを使ってできます。

Wi-Fi バックエンドとして iwd を使用する

ノート:

iwd.service を有効にしたり、iwd を手動で構成したりしないでください。 NetworkManager が起動し、それ自体を管理します。
iwd に切り替える前に既存の問題を検討してください。

実験的 iwd バックエンドを有効にするには、最初にインストール iwd してから、次の設定ファイルを作成します。

/etc/NetworkManager/conf.d/wifi_backend.conf

[device]
wifi.backend=iwd

または、networkmanager-iwd^AUR をインストールすることもできます。これは、iwd のみで動作する NetworkManager を構築するように設定された修正パッケージです。主な違いは、iwd が必要であり、wpa_supplicant は、ビルド後にアンインストールできます。

ノート: iwdに切り替えた後、convert existing NetworkManager network profiles する必要がある場合があります。

ネットワーク名前空間での実行

ネットワーク名前空間内で NetworkManager を実行する場合(たとえば、選択したアプリケーションで使用する必要がある特定のデバイスを管理する場合)、名前空間に移動する前にデバイスを停止します。

$ ip link set dev MY_DEVICE down
$ ip link set dev MY_DEVICE netns MY_NAMESPACE
$ ip netns exec MY_NAMESPACE NetworkManager
...
$ ip netns exec MY_NAMESPACE killall NetworkManager

そうしないと、NetworkManager は後で device is strictly unmanaged エラーで接続の確立に失敗します。

VPN に自動的に接続する

NetworkManager は、インターネットに接続するときに、ネットワークごとに VPN に自動的に接続するように設定できます。 VPN 接続自体は GNOME の NetworkManager フロントエンドに追加できますが、VPN を自動的に使用するには nmcli を使用する必要があります。他のフロントエンドにはこの制限がない場合があります。

まず、すべてのユーザが VPN 接続を利用できるようにすることを確認します。GNOME では、これは details タブの下にあるボックスにチェックを入れることで完了します。Identity タブのパスワード欄で右側のアイコンをクリックし、Store the password for all users に設定します。

次に、VPN 接続の UUID を見つけ、それをインターネット接続の connection.secondaries に追加してください。

# UUID=$(nmcli --get-values connection.uuid connection show name-of-VPN-connection)
# nmcli connection modify name-of-Internet-connection connection.secondaries "$UUID"

これで、NetworkManager が再起動され、設定したインターネット接続に接続すると、VPN に自動的に接続されるはずです。

トラブルシューティング

安全な Wi-Fi ネットワークのパスワードの入力を求めるプロンプトが表示されない

セキュリティで保護されたWi-Fiネットワークに接続しようとすると、パスワードの入力を求めるプロンプトは表示されず、接続は確立されません。これは、keyring・パッケージがインストールされていない場合に発生します。簡単な解決策は、gnome-keyring をインストールすることです。パスワードを暗号化して保存したい場合は、GNOME Keyring に従って gnome-keyring-daemon を設定します。

Network management disabled

時々 NetworkManager を終了したときに pid (state) ファイルが削除されずに 'Network management disabled' というメッセージが表示されることがあります。これが発生した場合は、手動でファイルを削除する必要があります:

# rm /var/lib/NetworkManager/NetworkManager.state

dhclient と DHCP に関する問題

DHCP を使って IP を取得するときに問題が起こるときは、以下を /etc/dhclient.conf に追加してみてください:

 interface "eth0" {
   send dhcp-client-identifier 01:aa:bb:cc:dd:ee:ff;
 }

aa:bb:cc:dd:ee:ff は NIC の MAC アドレスに置き換えてください。MAC アドレスは iproute2 パッケージの ip link show interface コマンドを使うことでわかります。

dhcpcd と DHCP に関する問題

ルーターによっては、/etc/dhcpcd.conf (dhcpd.conf とは別のファイルです) 内の次の行をコメントアウトしないと正しく接続できないことがあります:

require dhcp_server_identifier

ネットワーク上で複数の DHCP サーバーを使ってなければこの修正によって問題が起こることはありません。詳細はこのページを見て下さい。

3G モデムが検知されない

USB 3G モデム#Network_Manager を参照してください。

ラップトップで WLAN をオフに切り替える

ラップトップについているスイッチを使って WiFi アダプタを無効にしてその後また有効にした時に NetworkManager が動作しないことがしばしばあります。これはほとんど rfkill の問題です。公式リポジトリから rfkill^{[リンク切れ: 置換パッケージ: util-linux]} をインストールして、ドライバが rfkill に無線アダプタの状態を通知しているかどうか確かめるために次のコマンドを実行してください:

$ watch -n1 rfkill list all

アダプタの切り替えを行った後に identifier がブロックされたままの場合、手動でブロックを解除することができます (X は上のコマンドで出力された identifier の番号に置き換えてください):

# rfkill event unblock X

固定 IP 設定が DHCP に戻る

未解決のバグのため、デフォルトの接続を固定 IP にしたとき、nm-applet は正しく設定を保存できず、自動 DHCP に戻ります。

この問題を解決するにはデフォルトの接続 (例: "Auto eth0") を nm-applet で編集してから、接続の名前を変更し (例: "my eth0")、"Available to all users" のチェックを外して、固定 IP の設定をして、それから Apply をクリックする必要があります。これで新しい接続が指定した名前で保存されます。

さらに、デフォルト接続を自動で接続して欲しくない場合があるかもしれません。そうするには、nm-connection-editor を (root 以外で) 起動してください。接続エディタで、デフォルト接続 (例: "Auto eth0") を編集して "Connect automatically" のチェックを外して Apply をクリックして終了してください。

ノーマルユーザーで接続を編集できない

#PolicyKit パーミッションの設定を見て下さい。

隠れた無線ネットワークの削除

ステルスが有効になっているネットワークは無線のリストに表示されないので、GUI で削除することは出来ません。次のコマンドでネットワークを削除することが可能です:

# rm /etc/NetworkManager/system-connections/[SSID]

他の接続でもこのコマンドは使えます。

VPN が Gnome で動作しない

Gnome で NetworkManager を使って openconnect や vpnc 接続を設定すると、ダイアログが表示されず以下のエラーが /var/log/errors.log に現れることがあります:

localhost NetworkManager[399]: <error> [1361719690.10506] [nm-vpn-connection.c:1405] get_secrets_cb(): Failed to request VPN secrets #3: (6) No agents were available for this request.

これは GNOME の NM アプレットが /usr/lib/gnome-shell にダイアログスクリプトがあると想定しているのが原因です。NetworkManager のパッケージは /usr/lib/networkmanager に配置します。"一時的な"修正として (このバグをしばらく回避できます)、以下のシンボリックリンクを作成してください:

OpenConnect の場合: ln -s /usr/lib/networkmanager/nm-openconnect-auth-dialog /usr/lib/gnome-shell/
VPNC (すなわち Cisco VPN) の場合: ln -s /usr/lib/networkmanager/nm-vpnc-auth-dialog /usr/lib/gnome-shell/

他の NM VPN プラグインでも同じように設定してください。

可視化されたヨーロッパのワイヤレスネットワークに接続できない

WLAN チップは、デフォルト規制ドメインで出荷されます。アクセスポイントがこれらの制限内で動作しない場合、ネットワークに接続できません。これを修正するのは簡単です:

インストール wireless-regdb をインストールします。
/etc/conf.d/wireless-regdom に正しい国番号をアンコメントする。
設定は起動時にしか読み込まれないので、システムを再起動する。

Systemd のボトルネック

時が立つにつれてログファイル (/var/log/journal) が膨大になってしまうことがあります。そうすると NetworkManager を使う場合にブートパフォーマンスに大きな影響を与えます。参照: systemd#少しづつ起動時間が長くなっている。

定期的なネットワーク接続断、遅延、パケットロス (WiFi)

NetworkManager は2分ごとにスキャンを行います。

一部の WiFi ドライバは、接続/アソシエーション中にベースステーションのスキャンを行うと問題が発生します。症状としては、VPN 接続断/再接続、パケットロス、ウェブページのロードに失敗してリフレッシュすると良くなるなどがあります。

journalctl -f を root として実行すると、スキャンが行われていることがわかります。以下のようなメッセージが定期的にログに現れます:

NetworkManager[410]: <info>  (wlp3s0): roamed from BSSID 00:14:48:11:20:CF (my-wifi-name) to (none) ((none))

ローミングが重要でないならば、WiFi 接続プロファイルでアクセスポイントの BSSID をロックすることにより、定期的なスキャンの挙動を無効化することができます。

Lenovo ラップトップ (IdeaPad、Legion など) で Wi-Fi をオンにできない

一部の Lenovo モデルでは、Wi-Fi ドライバーがソフトブロックを誤って報告するため、ideapad_laptop モジュールに問題があります。カードは netctl で操作できますが、NetworkManager などのマネージャーは機能しません。これが問題であることを確認するには、ハードウェアスイッチを切り替えた後に rfkill list の出力をチェックし、ソフトブロックが持続することを確認します。

この記事またはセクションの正確性には問題があります。

理由: rfkill.default_state と rfkill.master_switch_mode を使用してみてください (kernel-parameters.html を参照)) rfkill の問題を修正します。 (議論: トーク:NetworkManager#)

Unloading ideapad_laptop モジュールでこれを修正する必要があります。(警告: これにより、ラップトップのキーボードとタッチパッドも無効になる可能性があります!)

ホスト名の送信をオフにする

NetworkManager はデフォルトでホスト名を DHCP サーバーに送信します。ホスト名の送信は、グローバルではなく接続ごとにのみ無効にできます (Issue#584)

特定の接続の DHCP サーバーへのホスト名の送信を無効にするには、ネットワーク接続ファイルに以下を追加します。

/etc/NetworkManager/system-connections/your_connection_file

...
[ipv4]
dhcp-send-hostname=false
...
[ipv6]
dhcp-send-hostname=false
...

nm-applet が i3wm で消える

通知に xfce4-notifyd.service を使用する場合は、ユニットを編集して、以下を追加する必要があります。

/etc/systemd/user/xfce4-notifyd.service.d/display_env.conf

[Service]
Environment="DISPLAY=:0.0"

デーモンをリロードした後 xfce4-notifyd.service。 i3 を終了し、再度起動すると、アプレットがトレイに表示されます。

nm-applet トレイアイコンが正しく表示されない

現在、nm-applet のトレイアイコンは互いに重なり合って描かれています。つまり、ワイヤレス強度を表示するアイコンが、有線接続がないことを示すアイコンの上に表示される場合があります。これは明らかに GTK3 のバグ/問題です [9]

GTK3 のパッチが適用されたバージョンが AUR に存在し、トレイアイコンのバグを修正しているようです:gtk3-classic^AUR

Unit dbus-org.freedesktop.resolve1.service not found

systemd-resolved.service が開始されていない場合、NetworkManager は D-Bus を使用して開始しようとし、失敗します。

dbus-daemon[991]: [system] Activating via systemd: service name='org.freedesktop.resolve1' unit='dbus-org.freedesktop.resolve1.service' requested by ':1.23' (uid=0 pid=1012 comm="/usr/bin/NetworkManager --no-daemon ")
dbus-daemon[991]: [system] Activation via systemd failed for unit 'dbus-org.freedesktop.resolve1.service': Unit dbus-org.freedesktop.resolve1.service not found.
dbus-daemon[991]: [system] Activating via systemd: service name='org.freedesktop.resolve1' unit='dbus-org.freedesktop.resolve1.service' requested by ':1.23' (uid=0 pid=1012 comm="/usr/bin/NetworkManager --no-daemon ")

これは、NetworkManager が NetworkManager.conf(5) の main.dns= 設定に関係なく、DNS 情報を systemd-resolved に送信しようとするためです。[10]

これは、/etc/NetworkManager/conf.d/ の設定ファイルで無効にできます:

/etc/NetworkManager/conf.d/no-systemd-resolved.conf

[main]
systemd-resolved=false

FS#62138 を参照してください。

Secrets が要求されましたが、提供されませんでした

nmcli device wifi connectSSIDpasswordpassword を使用してネットワークに接続しようとすると、次のエラーが表示されます。

Error: Connection activation failed: (7) Secrets were required, but not provided

このエラーにはさまざまな原因が考えられるため、 journal を読んでください (-u NetworkManager でフィルタリングしてください) たとえば、NetworkManager が接続を確立するのに時間がかかりすぎた場合、パスワードが正しくない可能性があります。

NetworkManager[1372]: <warn>  [1643991888.3808] device (wlan0): Activation: (wifi) association took too long
NetworkManager[1372]: <info>  [1643991888.3809] device (wlan0): state change: config -> need-auth (reason 'none', sys-iface-state: 'managed')
NetworkManager[1372]: <warn>  [1643991888.3838] device (wlan0): Activation: (wifi) asking for new secrets

接続プロファイルを削除して、新しいプロファイルを作成してみてください。

$ nmcli connection delete SSID
$ nmcli device wifi connect SSID password password

MAC アドレスのランダム化を無効にすることもできます。

/etc/NetworkManager/conf.d/wifi_rand_mac.conf

[device]
wifi.scan-rand-mac-address=no

iwd との WPA エンタープライズ接続

iwd backend を使用して NetworkManagerで eduroam のような WPA エンタープライズネットワークに接続しようとすると、NetworkManager から次のエラーが発生します。

 Connection 'eduroam' is not avialable on device wlan0 because profile is not compatible with device (802.1x connection must have IWD provisioning files).

これは、NetworkManager が WPA Enterprise ネットワークを設定できないためです。そのため、iwd#WPA Enterprise で説明されているように、iwd 設定ファイル /var/lib/iwd/essid.8021x を使用して設定する必要があります。

VPN で Secrets のリクエストに失敗する

もし、このようなエラーが発生したら

Failed to request VPN secrets #1: No agents were available for this request.

パスワードが空であるか、PolicyKit パーミッションの設定が必要なためです。

OpenVPN 接続が OpenSSL の ca md too weak エラーで失敗する

openssl がバージョン3に更新されたため、従来の暗号化アルゴリズムで生成された証明書はデフォルトで拒否されます。このような設定で networkmanager-openvpn を使用しようとすると、ログに次のエラーが記録される可能性があります。

nm-openvpn[14359]: OpenSSL: error:0A00018E:SSL routines::ca md too weak
nm-openvpn[14359]: Cannot load certificate file /home/archie/.local/share/networkmanagement/certificates/my_issued_cert.crt
nm-openvpn[14359]: Exiting due to fatal error

正しいアプローチは、OpenVPN サーバー管理者に、より安全な証明書を生成して再発行してもらうことです。ただし、当面の回避策として、OpenVPN には tls-cipher "DEFAULT:@SECLEVEL=0" が必要です。これはプラグインでは不可能かもしれませんが、nmcli では可能です。これとは別に、OpenSSL で レガシー プロバイダーを有効にする必要もあります。

まず、次の出力から、問題のある VPN 接続の名前を取得します。

$ nmcli connection show

接続名が vpn.example.com であると仮定すると、次のように nmcli を使用します。

$ nmcli connection modify vpn.example.com +vpn.data tls-cipher=DEFAULT:@SECLEVEL=0

変更は /etc/NetworkManager/system-connections/vpn.example.com.nmconnection に即座に反映されます。

OpenSSL に関しては、OpenSSL wiki の説明に従って /etc/ssl/openssl.cnf を編集します。

具体的には、[provider_sect] セクションの最後に legacy = legacy_sect を追加します。[default_sect] の下で activate = 1 のコメントを外します。最後に、activate = 1 という行も含む新しいセクション [legacy_sect] を追加します。他のほとんどの既存の構成セクションを除外すると、最終結果は次のようになります。

/etc/ssl/openssl.cnf

openssl_conf = openssl_init

[openssl_init]
providers = provider_sect

[provider_sect]
default = default_sect
legacy = legacy_sect

[default_sect]
activate = 1

[legacy_sect]
activate = 1

最後に、NetworkManager.service を再起動して、新しい OpenSSL 構成を有効にします。

参照

NetworkManager for Administrators Part 1

NetworkManager

目次

インストール

NetworkManager を有効にする

追加のインターフェース

VPN サポート

Mobile broadband support

PPPoE / DSL サポート

使い方

nmcli 例

接続を編集する

グラフィカルフロントエンド

GNOME

KDE Plasma

nm-applet

Appindicator

networkmanager-dmenu

設定

NetworkManager Wait Online を有効にする

PolicyKit のパーミッションをセットアップする

プロクシ設定

接続の確認

キャプティブポータル

DHCP client

DNS の管理

DNS キャッシングと条件付きフォワーディング

dnsmasq

カスタム dnsmasq 設定

IPv6

DNSSEC

systemd-resolved

openresolv サブスクライバーを持つ DNS リゾルバー

カスタム DNS サーバー

カスタム グローバル DNS サーバーの設定

接続でのカスタム DNS サーバーの設定

接続でのカスタム DNS サーバーの設定 (GUI)

接続でのカスタム DNS サーバーの設定 (nmcli/接続ファイル)

/etc/resolv.conf

管理対象外の /etc/resolv.conf

openresolv を使用

ファイアウォール

NetworkManager dispatcher を使用したネットワークサービス

dispatcher タイムアウトの回避

Dispatcher 例

リモートフォルダを sshfs でマウント

SMB 共有のマウント

NFS 共有のマウント

dispatcher を使って LAN ケーブルが接続されているかどうかに応じて自動的に Wi-Fi を切り替える

dispatcher を使ってネットワーク接続が確立された後に VPN に接続する

Dispatcher を使用して VPN プロバイダー接続で IPv6 を無効にする

OpenNTPD

systemd-timesyncd で DHCP 経由で受信した NTP サーバーを動的に設定する

テスト

ヒントとテクニック

Wi-Fi パスワードの暗号化

Gnome-Keyring を使う

KDE Wallet を使う

wifi でインターネット接続を共有する

イーサネット経由でインターネット接続を共有する

cron ジョブやスクリプトでネットワークが立ち上がっているか確認する

ログイン時に自動的に接続する

KWallet にパスワードを入力して OpenConnect

特定のデバイスを無視する

MAC アドレスのランダム化の設定

IPv6 プライバシー拡張を有効にする

接続ごとに一意の DUID を設定する

有線接続の操作

Wi-Fi バックエンドとして iwd を使用する

ネットワーク名前空間での実行

VPN に自動的に接続する

トラブルシューティング

安全な Wi-Fi ネットワークのパスワードの入力を求めるプロンプトが表示されない

Network management disabled

dhclient と DHCP に関する問題

dhcpcd と DHCP に関する問題

3G モデムが検知されない

ラップトップで WLAN をオフに切り替える

固定 IP 設定が DHCP に戻る

ノーマルユーザーで接続を編集できない

隠れた無線ネットワークの削除

カスタムグローバル DNS サーバーの設定