OpenVPN wag op 'n systemd-wagwoordversoek: moet jy dit antwoord?

'n Boodskap oor systemd-tty-ask-password-agent verskyn in die terminale, en die tonnel is nie op nie. Die verleidelike lesing is dat die VPN 'n wagwoord verwerp het en iets nou op 'n regstelling wag. Dit is akkurater om te sê dat 'n diens systemd om interaktiewe invoer gevra het, en dat die versoek nog nie beantwoord is nie. Watter diens gevra het, en watter geheim dit wil hê, is twee vrae wat jy kan besleg voordat jy enigiets tik.

Twee voorwaardes bepaal wie moet antwoord

Die eerste voorwaarde is of jy hierdie instansie doelbewus begin het. 'n Versoek wat volg op 'n aksie wat jy geneem het, is joune om te antwoord, en een wat verskyn sonder 'n ooreenstemmende aksie behoort aan iets anders. Die tweede is of die geheim rekeningverifikasie of sleutelbeskerming is, want dié leef op verskillende plekke en reis deur verskillende kodebane. Albei antwoorde is in die joernaal sigbaar as jy kyk voordat jy optree.

Wanneer albei antwoorde duidelik is, is die besluit eenvoudig: antwoord deur die diens se eie ondersteunde vra-pad. Wanneer een van hulle onduidelik is, is die regte skuif om ondersoek in te stel eerder as om 'n wagwoord in 'n prompt in te tik wat jy nie kan toeskryf nie.

Dit is die hele reël, en dit is die moeite werd om dit voor die opdragte te noem. Alles hieronder volg daaruit.

Lys die versoek voordat jy enigiets tik

Die agent kan opsom wat hangend is sonder om enigiets te antwoord. sudo systemd-tty-ask-password-agent --list druk die uitstaande versoeke, en daardie uitvoer is die bewys wat jy nodig het om 'n prompt aan 'n eenheid te koppel. Lees dit voordat jy 'n geloofsbrief verskaf, en hou versoekbeskrywings uit enige openbare diagnostiese plak.

Korreleer die lys met die bewerking wat jy begin het en met die eenheid wat dit besit. As niks in die lys by jou aksie pas nie, behoort die prompt wat jy gesien het aan 'n ander diens en is dit nie joune om op te los nie. Die eenheidsnaam in die lys is die enigste betroubare skakel tussen 'n prompt en 'n diens.

Moenie 'n versoek antwoord wat jy nie kan toeskryf nie. Die koste van wag is 'n vertraging, terwyl die koste van die verkeerde prompt antwoord 'n geloofsbrief op die verkeerde plek is.

Watter geheim het die instansie werklik nodig?

auth-user-pass handel oor rekeningverifikasie by die VPN-diens, en sonder 'n geloofsbrieflêer is die gedokumenteerde gedrag om op die konsole te vra. askpass verkry eerder die wagfrase wat beskermde sleutelmateriaal ontsluit, en dit doen dit voordat die proses as daemon begin loop. Dit is verskillende geheime met verskillende leeftye.

Die lêerformate verskil ook. Die rekeningvorm verwag 'n gebruikersnaamlyn en 'n wagwoordlyn, terwyl die sleutelwagfrase-lêer die eerste lyn as sy wagwoord lees. Om 'n resep vir 'n geloofsbrieflêer van die ander rol oor te neem, lewer gewoonlik nog 'n prompt eerder as 'n oplossing. 'n Lêer met die verkeerde vorm is slegter as geen lêer nie, want die mislukking skuif na 'n plek waar niemand kyk nie.

Kontroleer watter direktief die instansie gebruik voordat jy besluit wat om te tik. Die direktiefnaam sê vir jou watter geheim die prompt vra.

Wat --query doen wat --list nie doen nie

--query verwerk elke hangende versoek op die oproepende terminale, wat 'n veel wyer aksie is as om een prompt te antwoord. Dit is nie 'n OpenVPN-kieser nie, en op 'n besige masjien kan dit versoeke beantwoord wat aan ander eenhede behoort. Wagmodus is nog wyer, want dit hou aan om versoeke te hanteer soos hulle aankom.

Gebruik die nouste meganisme wat werk. Vir 'n enkele diens is daardie diens se eie vra-werkvloei nouer as 'n globale agent, en dit hou die antwoord gekoppel aan die eenheid wat gevra het.

Om 'n eenmalige versoek in 'n onbewaakte globale agent te omskep omdat 'n kennisgewing een keer verskyn het, is hoe 'n tydelike irritasie 'n permanente ontwerp word. Dieselfde versigtigheid geld wanneer jy wagwoordkennisgewing-eenhede oor die hele gasheer deaktiveer.

Besluit, en teken dan die keuse aan

Vir 'n onbewaakte ontplooiing, stem die geloofsbriefbron, lêerregte en hernuwingskedule met die eienaar van die verbinding ooreen. 'n Interaktiewe tweede faktor kan 'n persoon of 'n toegewyde diensidentiteit nodig hê. Om die prompt te onderdruk lewer nie daardie verifikasie nie, en om auth-user-pass te verwyder breek net 'n diens wat dit nodig het.

Kyk ná die interaksie na dieselfde instansie vir sy volgende gebeurtenis en toets die private hulpbron. As niks hangend is nie, keer terug na die instanstoestand in plaas daarvan om elke OpenVPN-eenheid op die gasheer te begin.