لماذا لا تستطيع خدمة VPN تبدأ عند الإقلاع قراءة حلقة مفاتيحك
خدمة VPN تعمل عند الإقلاع لا تجد وكيل أسرار مفتوحًا تستعير منه. اقرأ أعلام الأسرار في الاتصال قبل إعادة تعيين كلمة مرور لم يرفضها الخادم قط.
الاتصال الذي يعمل بعد تسجيل الدخول ويفشل قبله يعني عادةً أن محاولة الإقلاع لم تتمكن من الحصول على سر، لا أن الخادم رفض سرًا. بيانات الاعتماد موجودة؛ أما السياق الذي يطلبها فغير موجود. هذا التمييز وحده يوفر إعادة تعيين كلمة مرور لا لزوم لها.
تتبّع الطلب: شيء ما يبدأ الاتصال قبل وجود جلسة سطح مكتب، ومخزن الأسرار الذي يجيب عادةً لم يُفتح بعد. يختلف السياقان حول من يملك السر، ويسجّل الملف الشخصي أيّهما يُتوقع أن يوفّره.
ما يطلبه مسار الإقلاع فعلاً
عند الإقلاع، يبدأ NetworkManager كخدمة نظام بلا جلسة مستخدم، وبلا D-Bus للجلسة، وبلا حلقة مفاتيح مفتوحة. يمكن رفع ملف اتصال رغم ذلك، لكن فقط بأسرار تستطيع الخدمة الوصول إليها بنفسها. أي شيء يملكه وكيل أسرار يتوقف حتى يسجّل إنسان الدخول ويظهر الوكيل. الخدمة تفعل بالضبط ما يقوله إعدادها؛ والملف الشخصي هو ما يجب أن يتغير.
الفشل مكتوب في الاتصال لا مخفيًا في حلقة مفاتيح.
قراءة أعلام الأسرار في الاتصال
اسأل الاتصال عمّا يتوقعه، لا عمّا يتذكره سطح المكتب. عمود الأعلام يجيب عن السؤال مباشرةً، ويبقى بعد إعادة التشغيل في ملف الملف الشخصي على القرص.
ابدأ بقائمة الملفات الشخصية، ثم تأكّد من الاتصال المضبوط ليظهر من تلقاء نفسه. ثم أفرغ اتصالًا واحدًا واقرأ أعلام كلمة المرور:
nmcli -f NAME,UUID,TYPE,AUTOCONNECT connection show nmcli connection show "Work VPN" | grep -i -E "password|secret|key" journalctl -b -u NetworkManager --grep "secret"
يؤكد الأمر الأول أي الملفات الشخصية موجودة وما إذا كان أحدها مضبوطًا على الاتصال التلقائي، وهي الطريقة التي تبدأ بها محاولة غير مراقبة أصلاً. ويكشف الثاني قيم الأعلام، ويُظهر الثالث الخدمة تشكو من أن لا وكيل أجاب عن سر معيّن. سطر سجل يسمّي سرًا بأنه مملوك لوكيل هو التشخيص كله في جملة واحدة.
| Flag value | Where the secret lives | Behaviour before login |
|---|---|---|
| 0 | Stored in the connection profile | Available to the system service |
| 1 | Owned by a secret agent | Blocks until the agent is unlocked |
| 2 | Never stored | Prompts on every activation |
| 4 | Not required | Never requested at all |
لماذا يغيّر نقل الاتصال إلى نطاق النظام الجواب
الاتصال المملوك لمستخدم يُنشَّط تحت وكيل ذلك المستخدم، ولهذا يعمل تمامًا بمجرد أن يبدأ سطح المكتب. نقلُه إلى نطاق النظام يزيل الوكيل من المسار، فيتصرف الملف الشخصي نفسه بشكل مختلف دون أن يتغير سطر واحد من إعداد VPN.
هذا النقل تصميم مشروع، ويحمل شرطًا: يجب أن يكون السر في متناول خدمة النظام. تخزينه في الملف الشخصي، أو توفيره عبر بيانات اعتماد بنطاق النظام، أو قبول مطالبة تفاعلية في اللحظة المناسبة، كلها إجابات صالحة. ترك العلم 1 والأمل ليس كذلك.
مفتاح خاص بعبارة مرور خاصة به يضيف طبقة ثانية. حتى كلمة مرور حساب مخزنة لن تفتح مفتاحًا يريد عبارة مرور، لذا تحقق من أي سر تطلبه المرحلة الفاشلة فعلاً قبل تغيير أي شيء.
ما لا يجب فعله، وما يجب فعله بدلاً منه
جعل كل ملف اعتماد مقروءًا للجميع، أو تعطيل المصادقة حتى لا تلزم مطالبة، يقايض إزعاج بدء التشغيل بتعرّض دائم. وكلاهما يخفي التبعية بدل حلها، وتحديث الصورة التالي يعيد الفشل نفسه.
استخدم الآلية التي توثّقها توزيعتك للتنشيط غير المراقب في تلك المرحلة، ثم تأكد من أن أعلام الملف الشخصي تطابقها. افحص النتيجة من إقلاع نظيف لا من صدفة تملك وكيلاً بالفعل. اكتب مالك الاتصال ومصدر السر والمرحلة التي يجب أن تعمل، حتى لا يعيد تغيير لاحق للتشغيل التلقائي إدخال اعتماد على فتح سطح مكتب أولاً. التوثيق هو الفرق بين خدمة مُصلحة وأخرى تنكسر مجددًا الربع القادم.
اختبر من إقلاع نظيف مضبوط لا من إعادة محاولة يدوية بعد الدخول. إعادة المحاولة تنجح للسبب الذي فشلت به محاولة الإقلاع، وهذا بالضبط الدليل الذي يدمّره اختبار سريع.