Remote VPN-redigeerder oor SSH: watter masjien redigeer jy?

X11-aanstuur plaas die redigeerder se venster op jou skootrekenaar terwyl die proses op die remote gasheer bly loop. Daardie gaping is die hele lokval: jy kyk na 'n plaaslike venster en redigeer 'n remote profiel, en 'n verkeerde aanname oor watter masjien die verandering besit, kan die SSH-skakel waaroor jy werk, afsny. Die kontrolelys hieronder stel eers die gasheer en die profiel vas voordat enigiets gestoor word. Elke stap het 'n stopvoorwaarde, so 'n fout vroeg is goedkoop.

Stap 1: benoem die masjien wat die profiel besit

Voer die identiteitsopdragte uit in die skulp wat jy gaan konfigureer, en lees die antwoord eerder as om dit uit die opdraglyn te aanvaar. 'n Gasheernaam in die opdraglyn is 'n string wat jou skulp gedruk het; die kernel se gasheernaam is wat die res van hierdie kontrolelys vertrou. As die twee nie ooreenstem nie, is jy op die verkeerde masjien of die opdraglyn is deur jou plaaslike skulp versier. Stop en maak weer aan die bedoelde gasheer vas voordat jy voortgaan.

hostnamectl
hostname -f
ip -brief address

Die volgende vraag is of hierdie masjien hoegenaamd die VPN moet hou. Om die skootrekenaar se kliënt te konfigureer en om die remote gasheer se kliënt te konfigureer lewer verskillende roetes, verskillende DNS en verskillende fouttoestande. Besluit watter een jy bedoel voordat jy 'n profiel aanraak, en skryf die besluit neer waar die volgende persoon dit sal vind.

Stap 2: lees die profiel volgens UUID, nie volgens etiket nie

NetworkManager identifiseer 'n verbinding volgens UUID, terwyl die naam 'n etiket is wat enigiemand kan wysig of dupliseer. Lys albei en pas die inskrywing wat jy werklik bedoel, veral op 'n gasheer waar verskeie VPN-profiele oor die jare ingevoer is.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Gestoorde inskrywings en aktiewe verbindings beantwoord verskillende vrae: die eerste lys wat bestaan, die tweede lys wat op die oomblik verkeer dra. Die toestemmingsreël beskryf plaaslike beleid vir jou sessie en sê niks daaroor of die VPN-gateway die rekening sal aanvaar nie. As die profiel wat jy nodig het nie in die gestoorde lys is nie, stop hier, want om die verkeerde inskrywing te wysig is erger as om glad nie te wysig nie.

Sodra jy die UUID het, sit dit in 'n veranderlike en gebruik daardie veranderlike in elke latere opdrag. Dit verwyder 'n klas kopieer-en-plak-foute en maak die transkripsie herhaalbaar.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Stap 3: besluit of 'n grafiese redigeerder die regte gereedskap is

'n Redigeerder wat 'n polkit-opdrag of 'n geheime agent nodig het, sal nie een kry net omdat sy venster op jou skootrekenaar verskyn nie. Daardie komponente loop in die konteks van die remote sessie, en om 'n vertoning aan te stuur stuur hulle nie aan nie. As die redigeerder nie kan stoor nie weens 'n magtigings- of geheime fout, is die vertoning nie die probleem nie.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH aktiveer X11-aanstuur met -X en dokumenteer die versigtigheid wat daarmee saamgaan: die remote gasheer kan by jou plaaslike vertoning uitkom, wat 'n werklike vertrouensgrens is. Vertroude aanstuur met -Y verwyder sommige van daardie kontroles en moet nooit die refleksoplossing wees vir 'n toepassing wat onder die verstek misluk nie. As jou organisasie 'n metode vir afstandadministrasie publiseer, gebruik daardie een eerder as om 'n variant te bedink. In die meeste gevalle is die opdraglyn-redigeerder die kleiner oppervlak en die beter antwoord.

Stop hier as die enigste werkende pad -Y vereis en jy nie kan verduidelik hoekom nie. Dit is 'n besluit vir wie ook al die sekuriteitsbeleid besit, nie 'n workaround om in 'n persoonlike skrip te hou nie.

Stap 4: hou 'n herstelpada voor jy enigiets aktiveer

'n VPN-verandering kan die roete verwyder waarvan jou SSH-sessie afhanklik is, so reël 'n weg terug voordat jy die profiel aktiveer. Konsoltoegang, 'n buitebandse bestuursadres of 'n geskeduleerde terugrol tel alles; 'n hoop dat die verandering werk, tel nie.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktiveer slegs die bedoelde profiel en verifieer dan vanaf die remote gasheer: die verstekroete, die SSH-terugpad en een hulpbron wat deur die tonnel bereikbaar behoort te wees. 'n Suksesvolle kontrole vanaf jou skootrekenaar toets die skootrekenaar se pad en sê niks oor die remote gasheer nie. As die sessie onderbreek word, gebruik die herstelpada eerder as om blind weer aan te maak. Om 'n profiel te stoor is nie aktivering nie, en aktivering is nie verifiëring nie.

Teken die UUID, die eiendomswaardes wat jy verander het en die opdragte wat jy gebruik het om hulle te verifieer, aan. Die volgende persoon wat hierdie gasheer aanraak, sal al drie nodig hê, en 'n transkripsie is meer werd as 'n opsomming wat sê die VPN is reggemaak. 'n Kontrolelys wat sonder 'n terugrolnota eindig, is 'n halwe kontrolelys.