openvpn3 se session-start ignoreer jou geloofsbriewe-lêer

Verbind met die 2.x-kliënt en die profiel werk; gee dieselfde lêer aan die 3.x-kliënt en dit stop by ’n wagwoordprompt. Gee --auth-user-pass creds.txt aan openvpn3 session-start en die uitslag is dieselfde, want die nuwer kliënt het geen stadium wat die lêer lees nie. Die weiering is doelbewus: geloofsbriewe hoort by ’n sessie, en ’n sessie word deur ’n diens geskep, nie deur die proses in jou terminal nie. Kies tussen die interaktiewe prompt en die outolaai-hulp, en weet wat elkeen stoor.

Waarom die gestoorde lêer nêrens heen kan gaan nie

In die nuwer ontwerp is konfigurasiebestuur en sessiebestuur aparte dienste wat oor die stelselbus kommunikeer. Dit is daardie skeiding wat ’n gewone gebruiker in staat stel om ’n sessie te begin sonder dat ’n bevoorregte daemon namens hom ’n beskermde wagwoordlêer lees. Lêergebaseerde geloofsbriewe het geen plek in daardie model nie, want daar is geen daemon-kant-start wat dit sou lees nie. Die weiering is ’n gevolg van die argitektuur, nie ’n ontbrekende funksie nie.

Dit is die moeite werd om die ou patroon te benoem sodat dit makliker is om dit af te leer: ’n profiel verwys na ’n geloofsbriewe-lêer, en die daemon lees dit wanneer die tonnel begin. In die nuwe model hoort geloofsbriewe by ’n sessie en word dit verskaf wanneer daardie sessie begin. openvpn3 session-start --config work.ovpn vra daarvoor, en --auth-user-pass creds.txt word verwerp omdat niks in daardie pad die lêer sou oopmaak nie. Elke 2.x-resep wat jy vind, veronderstel ’n stadium wat nie meer bestaan nie.

Konfigurasie en terrein-plaaslike instellings is ook geskei, wat ’n tweede verrassing verduidelik. ’n Profiel kan volledig lyk terwyl die verbinding wat dit lewer, roetering en oplosser-konfigurasie mis. Daardie stukke word as terrein-plaaslike instellings toegepas, apart van die ingevoerde lêer.

Die prompt-pad en die sessie wat dit agterlaat

Om die wagwoord te verskaf wanneer die sessie begin, is die bedoelde werkvloei. Die kliënt vra een keer, gee die geloofsbriewe aan die sessie-agterkant en gaan voort:

openvpn3 session-start --config work.ovpn
openvpn3 sessions-list

Niks word deur daardie pad op skyf geskryf nie. Die sessie hou ook aan loop nadat die terminal sluit, wat mense verras wat verwag dat die proses saam met hul skulp moet sterf. Dit is juis die punt daarvan om sessiehantering in ’n diens te skuif. Die sessie oorleef die terminal wat dit gevra het, en dit moet eksplisiet gestop word.

Vir ’n werkstasie met ’n mens voor die skerm is dit ook die veiligste opsie, want daar is geen gestoorde geheim om te beskerm of te vergeet nie. Dit is net ongeskik waar niemand teenwoordig is om te tik nie.

Outomatisering sonder ’n mens by die sleutelbord

Waar ’n masjien sonder ’n mens moet verbind, lewer die projek openvpn3-autoload. Dit lees ’n gids met profiele en ’n bypassende beskrywer per profiel, en die beskrywer verskaf die geloofsbriewe in gewone teks. Die hulp is ’n aparte binêre lêer, gewoonlik by /usr/sbin/openvpn3-autoload, nie ’n vlag op session-start nie. Om dit op te stel beteken om die gids te skep, die profiel te kopieer onder die naam wat die beskrywer verwag, en die beskrywer te skryf.

’n Per-gebruiker-opstelling lyk so, uitgevoer as die rekening wat die sessie sal besit. Die gidsmodus hou ander plaaslike gebruikers uit:

mkdir -m700 -p ~/.openvpn3/autoload
cp work.ovpn ~/.openvpn3/autoload/client.conf
$EDITOR ~/.openvpn3/autoload/client.autoload

Die beskrywer noem die geloofsbriewe en vra vir ’n outomatiese begin. Hou die wagwoordwaarde uit weergawebeheer:

{
  "autostart": true,
  "user-auth": {
    "autologin": true,
    "username": "svc-vpn",
    "password": "change-this-value"
  }
}

Roep dan die hulp een keer aan en bevestig dat die sessie verskyn. Die tweede opdrag is die kontrole, nie nog ’n opstellingstap nie:

/usr/sbin/openvpn3-autoload --directory ~/.openvpn3/autoload
openvpn3 sessions-list

By die opstart gebruik ’n verpakte eenheid genaamd openvpn3-autoload.service die stelselwye gids /etc/openvpn3/autoload, nie die per-gebruiker een nie. Daardie ligging benodig root-eienaarskap en ’n strenger modus, en die beskrywer hou steeds die wagwoord in gewone teks. Die afweging is duidelik: die wagwoord sit nou op skyf, so behandel daardie gids as ’n geheim, sluit dit uit van rugsteune buite die gasheer, en kies die interaktiewe pad wanneer ’n mens teenwoordig is.

Busfoute wat soos wagwoordfoute lyk

Sommige foute wat aan geloofsbriewe toegeskryf word, is niks van die aard nie. ’n Toestemmingsfout wat die diensaktiveringspad noem, beteken een van twee dinge: die agterkant is nie op nie, of die oproeper het nie toestemming om dit te aktiveer nie. Geen profielwysiging sal enige van die twee verander nie. Kontroleer die dienstoestand en die meegeleverde busbeleid voordat jy die konfigurasie aanraak.

Die opdragte hieronder skei die twee. Die eerste rapporteer of die agterkant loop; die tweede wys onlangse busfoute:

systemctl status openvpn3-service-client
journalctl -b -u openvpn3-service-client --no-pager | tail -20

Die ander algemene mislees is ’n sessie wat verskyn en dan dadelik verdwyn. Daardie patroon beteken gewoonlik dat die terrein-plaaslike instellings nooit toegepas is nie, so die tonnel het opgekom sonder die roetes en oplosser-veranderinge wat dit bruikbaar maak. Lees die volgorde eerder as die laaste reël: of die sessie geskep is, of dit ’n gekoppelde toestand bereik het, en of dit oorleef het, is drie afsonderlike feite.

Wanneer die ouer kliënt nog in gebruik is

Die 2.x-kliënt aanvaar steeds ’n geloofsbriewe-lêer, en ’n sleutelring kan sy prompt antwoord sonder dat die geheim ooit die skyf bereik. ’n Omhulsel los die inskrywing op, so die lêer noem die opsoek eerder as die wagwoord. Hierdie reëling hang af van ’n ontslote sleutelring, wat ’n houer sonder aanmeldingsessie of ’n eenheid wat begin voordat iemand aanmeld, nie kan verskaf nie. Die opsoekinstrument rapporteer dan ’n versameling waarna dit nie kan skryf nie, so die fout lyk soos ’n geloofsbriewe-fout terwyl dit ’n sleutelringfout is.

Voordat jy enigiets daarvan bou, kyk of ’n lewendighou-instelling in die profiel die behoefte om weer te begin heeltemal verwyder. ’n Sessie wat bly staan, bereik nooit die prompt wat jy probeer outomatiseer nie.