Gee elke VPN-rekening sy eie NetworkManager-launcher

Twee VPN-rekeninge, een poort, en 'n lessenaar-ikoon wat aansluit as wie dit laas gebruik het. Die gewone oorsaak is 'n launcher wat 'n gedeelde profiel se gebruikersnaam net voor die koppeling herskryf, of een wat 'n vertoonnaam opsoek wat albei profiele toevallig deel. NetworkManager onderskei profiele reeds aan UUID, so die ikoon kan presies een daarvan noem en die identiteit met rus laat. Wat dit nie moet dra nie, is die wagwoord.

'n Launcher is 'n wyser, nie 'n stoorplek vir geloofsbriewe nie.

Vind die UUID en bevestig die identiteit

Lys die gestoorde verbindings en lees die UUID, die verbinding-ID en die gebruikersnaam wat elke profiel stoor. Bevestig watter profiel by watter rekening hoort voordat jy enigiets skep, want 'n vertoonnaam is 'n etiket en nie 'n sleutel nie. As die twee rekeninge verskillende poorte of verskillende profiele nodig het, is dit 'n aparte konfigurasietaak.

Gebruik die UUID in die launcher. 'n Soektog op vertoonnaam werk totdat iemand 'n profiel hernoem, en dan koppel die ikoon as die verkeerde rekening of glad nie.

Skryf die lessenaar-inskrywing

'n Lessenaar-inskrywing benodig 'n tipe, 'n naam en 'n uitvoerbare reël. Die opdrag moet daardie UUID laat opkom en NetworkManager die geheim laat vra, dit is waarvoor nmcli --ask connection up uuid ... is. Hou Terminal=true sodat die opdraglyn sigbaar is wanneer 'n geheim nodig is. Vervang die plekhouer met die UUID wat jy werklik gesien het, en moenie 'n skulp-omhulsel byvoeg net om die opdraglyn weg te steek nie.

Die Desktop Entry-spesifikasie definieer Exec as die program en sy argumente. Dit is nie 'n skulpteks nie, en dit het nie een nodig nie.

Laat die agent die geheim hou

Geheime hoort by die agent per gebruiker, die sleutelring of 'n interaktiewe opdraglyn. 'n Wagwoord in Exec is sigbaar in die prosesselys, in die lessenaarlêer en in enige skermfoto van die eienskappe-dialoog. As die profiel 'n geheim nodig het, laat die ondersteunde opdraglyn dit insamel en laat die agent dit vir daardie gebruiker onthou.

--ask is interaktief van ontwerp. Dit is nie 'n resep vir onbewaakte outomatisering nie, en dit waarborg nie dat elke verifikasie-uitdaging of inprop heeltemal geskrip kan word nie.

Moenie na sudo gryp nie

Magtiging om 'n verbinding te wysig of te aktiveer is 'n NetworkManager-toestemming wat deur sy beleid verleen word, nie 'n Unix-voorreg nie. Om die launcher met sudo te laat loop gee nie vir die proses 'n ander gebruiker se sleutelring nie, en dit los nie 'n weiering deur die poort op nie. Op 'n gedeelde masjien, gaan na watter plaaslike rekeninge watter profiele kan sien en wie elkeen se geheim besit; aparte ikone skep nie op hul eie isolasie nie.

Twee aktiewe profiele vir dieselfde poort kan ook om roetes meeding of 'n gelyktydigheidsreël oortree. Dit is 'n beleidsvraag eerder as 'n fout in die launcher.

Verifieer die hele aksie

Aktiveer die launcher een keer en bevestig drie dinge: die UUID wat opgekom het, die identiteit wat die poort gesien het, en of 'n geheim-opdraglyn verskyn het waar jy dit verwag het. As die verbinding misluk, hou die eerste foutboodskap. Om die wagwoord by die opdraglyn te voeg om die kortpad selfstandig te laat lyk, verberg daardie fout en skep 'n erger probleem.

Skryf die UUID en die rekeningkaart in die span se notas. Die volgende persoon wat 'n profiel verander, moet weet watter ikoon daarvan afhang, en dit is daardie nota wat keer dat 'n hernoeming 'n onderbreking word.