nmcli يطلب كلمة مرور VPN باستمرار: خزّن السر محليًا

نفس الملف الشخصي، جلستان: يتصل من سطح المكتب ويتوقف عبر SSH عند مطالبة لا يستطيع شيء الإجابة عنها. لا شيء معطوب ولم تُفقد أي إعدادات. إن NetworkManager يطلب بيانات الاعتماد من وكيل أسرار، ووكيل الأسرار مكوّن من مكونات سطح المكتب غير موجود في الجلسة التي تستخدمها.

شغّل التسلسل أدناه وسيظهر النفق بلا واجهة، مع التحفظ بأن تخزين السر يغيّر من يمكنه استخدام ذلك الملف الشخصي.

أكّد التشخيص قبل تعديل أي شيء

الفرق بين التنشيط التفاعلي وغير التفاعلي هو التشخيص كله. إذا نجح nmcli --ask connection up بينما يتعطل التنشيط العادي، فالملف الشخصي صحيح، و مصدر السر مفقود. تلك المقارنة الواحدة تنجيك من إعادة كتابة إعداد يعمل.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

اقرأ الأعلام بدل التخمين. القيم التي تعني "اسأل وكيلًا" هي ما تبحث عنه، وأسماء المفاتيح الدقيقة تختلف بين إضافات VPN لأنها تعيش في قاموس بيانات الإضافة نفسها. ملف FortiSSL الشخصي وملف IPsec لا يستخدمان بالضرورة الأسماء نفسها، لذا اعمل من مخرجات ملفك الشخصي.

تأكد أيضًا من تثبيت حزمة الإضافة لذلك البروتوكول. تظهر الإضافة المفقودة كنوع اتصال غير معروف أو كخطأ تنشيط لا يقول شيئًا عن كلمات المرور، وملاحقة السر في تلك الحالة تضيّع الساعة نفسها مرتين. استعلام واحد عن الحزمة أرخص من ظهيرة كاملة في تحرير ملفات المفاتيح.

انقل السر إلى ملف المفتاح

ملف الاتصال يعيش تحت /etc/NetworkManager/system-connections/. لا تُحفظ الأسرار هناك افتراضيًا، وهذا هو مغزى الأعلام التي قرأتها للتو. تغيير علم إلى صفر يخبر NetworkManager أن القيمة مخزّنة مع الملف الشخصي بدلًا من طلبها وقت التنشيط.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

بالنسبة لملف شخصي فيه سرّان، يتكرر النمط: علم واحد لكل سر في قسم [vpn]، والقيم في [vpn-secrets]. يحمل ملف IPsec الشخصي عادةً مفتاحًا مشتركًا مسبقًا إلى جانب بيانات اعتماد المستخدم، وتسمّيها الإضافة بشكل مختلف عن حقل كلمة مرور عادي، لذا انسخ أسماء المفاتيح من مخرجات vpn.data بدلًا من مقالة مدونة استخدمت إضافة أخرى. اسم مفتاح واحد خاطئ ينتج ملفًا يُحمّل ثم يفشل في المصادقة، وهو ما يُقرأ تمامًا ككلمة مرور خاطئة. قارن ملفك بملف شخصي يعمل من الإضافة نفسها قبل أن تتصل مرة أخرى.

ضع علامات اقتباس حول القيم التي تحتوي على مسافات أو علامات اقتباس أو علامة دولار. القيمة غير المقتبسة التي تحتوي على $ تُقرأ حرفيًا أو تُوسّع حسب موضع تحليلها، وفشل المصادقة الناتج يبدو ككلمة مرور خاطئة.

ثم أصلح ملكية الملف ووضعه. تُقرأ ملفات المفاتيح هذه بواسطة خدمة ذات امتيازات، والملف الذي يمكن للمستخدمين الآخرين قراءته يُعدّ غير موثوق، وهذا هو السبب المعتاد لظهور الملف الشخصي المعدّل وكأنه مُتجاهل. المالك root، الوضع 600، بلا استثناءات.

أعد التحميل، ثم نشّط

يُقرأ الملف عند تحميل الاتصال، لذا لا يكفي تحريره. أعد تحميل الملفات الشخصية ثم أخرج الاتصال صراحةً.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

إذا لم يلتقط إعادة التحميل التغيير، فإعادة تشغيل الخدمة كاملةً تفعل ذلك، وهناك تقارير عن هذا بالضبط. فضّل إعادة التحميل عندما تهم الروابط الأخرى، لأن إعادة تشغيل الخدمة تقطع كل اتصال مُدار، وعلى مضيف بعيد قد تنهي جلستك قبل أن يظهر النفق الذي أردته.

استخدم UUID عندما تكون الأسماء ملتبسة. الأجهزة التي فيها عدة ملفات شخصية للعملاء تتراكم فيها النسخ شبه المكررة، وتنشيط النسخة الخاطئة ينتج فشلًا يبدو كمشكلة في بيانات الاعتماد.

عندما لا يكون السر المخزّن هو المشكلة

قد يفشل ملف FortiSSL الشخصي حتى مع بيانات اعتماد مخزّنة صحيحة لأن العميل لا يثق أبدًا بشهادة البوابة. ذلك الإعداد ليس في مربع الحوار الرئيسي؛ إنه خلف الخيارات المتقدمة لـ VPN، حيث تُدخل بصمة الشهادة الموثوقة. إذا ذكر السجل الشهادة بدلًا من كلمة المرور، فأنت في هذا الفرع ولن تساعد أي كمية من تحرير [vpn-secrets].

ثمة فحصان آخران ينتميان هنا. تأكد من أن الملف الشخصي لم يُستورد من ملف لا يزال يشير إلى مسار لا تستطيع الإضافة قراءته، وتأكد من أن الملف الشخصي هو النشط وليس نسخة قديمة مكررة. كلاهما ينتج فشل تنشيط يُقرأ كخطأ مصادقة.

قرّر ما إذا كان التخزين مقبولًا

الـ PSK وكلمة المرور المخزّنان يمكن لأي شيء يعمل بصلاحيات root على ذلك الجهاز قراءتهما. على جهاز تتحكم فيه، هذه مقايضة معقولة مقابل خدمة بلا واجهة. على مضيف مشترك، يستحق الأمر محادثة، لأن الملف الشخصي صار يحتوي الآن على بيانات اعتماد كانت محمية سابقًا بحلقة مفاتيح سطح المكتب. اسأل من غيرك يستطيع الوصول إلى root على ذلك المضيف قبل أن تقرر، لا بعد أن يصبح التغيير في مكانه.

إذا كانت السياسة تمنع تخزين أسرار VPN، فلا تُضعف الملف الشخصي لتشغيل مهمة cron. شغّل الاتصال من جلسة فيها وكيل، أو استخدم آلية أخرى للأتمتة.

أخيرًا، سجّل أي الملفات الشخصية تحمل أسرارًا حتى لا ينسخ أحد ملفًا إلى حاسوب محمول دون أن ينتبه. تعليق فوق قسم الأسرار بتاريخه وسببه يكفي، وسيوفر على شخص ما مراجعة محرجة لاحقًا.