nmcli davamlı olaraq VPN parolunu soruşur: sirri yerli olaraq saxlayın

Eyni profil, iki sessiya: masaüstündən qoşulur və SSH üzərindən heç nəyin cavab verə bilmədiyi sorğuda dayanır. Heç nə pozulmayıb və heç bir parametr itirilməyib. NetworkManager etimad məlumatını sirr agentindən istəyir, sirr agenti isə masaüstü komponentidir və istifadə etdiyiniz sessiyada mövcud deyil.

Aşağıdakı ardıcıllığı işə salın və tunel başsız vəziyyətdə qalxacaq; təkcə qeyd edək ki, sirrin saxlanması bu profildən kimin istifadə edə biləcəyini dəyişir.

Hər hansı dəyişiklik etməzdən əvvəl diaqnozu təsdiqləyin

İnteraktiv və qeyri-interaktiv aktivləşdirmə arasındakı fərq bütün diaqnozdur. Əgər nmcli --ask connection up uğur qazanırsa, adi aktivləşdirmə isə ilişib qalırsa, profil düzgündür və sirrin mənbəyi çatmır. Bu tək müqayisə sizi işlək konfiqurasiyanı yenidən yazmaqdan xilas edir.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Bayraqları oxuyun, təxmin etməyin. "Agentdən soruş" mənasına gələn dəyərlər axtardığınızdır və dəqiq açar adları VPN plaginləri arasında fərqlənir, çünki onlar plaginin öz məlumat lüğətində yaşayır. FortiSSL profili ilə IPsec profili mütləq eyni adlardan istifadə etmir, ona görə öz profilinizin çıxışından işləyin.

Həmçinin həmin protokol üçün plagin paketinin quraşdırıldığını təsdiqləyin. Çatışmayan plagin naməlum qoşulma növü və ya parollar barədə heç nə deməyən aktivləşdirmə xətası kimi görünür və bu vəziyyətdə sirrin arxasınca qaçmaq eyni saatı iki dəfə itirməkdir. Bir paket sorğusu açar fayllarını redaktə etməklə keçən bütöv bir günortadan ucuzdur.

Sirri açar faylına köçürün

Qoşulma faylı /etc/NetworkManager/system-connections/ altında yerləşir. Sirrlər orada defolt olaraq saxlanmır, sadəcə oxuduğunuz bayraqların məqsədi budur. Bayrağı sıfıra dəyişmək NetworkManager-ə bildirir ki, dəyər aktivləşdirmə vaxtı istənilmək əvəzinə profil ilə birlikdə saxlanılır.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

İki sirri olan profil üçün nümunə təkrarlanır: [vpn] bölməsində hər sirr üçün bir bayraq, dəyərlər isə [vpn-secrets] içində. IPsec profili adətən istifadəçi etimad məlumatı ilə yanaşı əvvəlcədən paylaşılmış açar daşıyır və plagin onları adi parol sahəsindən fərqli adlandırır, ona görə açar adlarını başqa plagin istifadə edən blog yazısından deyil, vpn.data çıxışından köçürün. Bir açar adını səhv yazmaq yüklənən, sonra isə autentifikasiyada uğursuz olan profil yaradır ki, bu da tamamilə yanlış parol kimi oxunur. Yenidən qoşulmazdan əvvəl faylınızı eyni plaginin işlək profili ilə müqayisə edin.

Boşluq, dırnaq və ya dollar işarəsi olan dəyərləri dırnaq içində yazın. Tərkibində $ olan dırnaqsız dəyər harada təhlil olunmasından asılı olaraq hərfi oxunur və ya genişləndirilir, nəticədə yaranan autentifikasiya xətası yanlış parol kimi görünür.

Sonra faylın sahibliyini və rejimini düzəldin. Bu açar faylları imtiyazlı xidmət oxuyur və başqa istifadəçilərin oxuya bildiyi fayl etibarsız sayılır; redaktə olunmuş profilin sanki nəzərə alınmamasının adi səbəbi budur. Sahib root, rejim 600, istisna yoxdur.

Yenidən yükləyin, sonra aktivləşdirin

Fayl qoşulma yüklənərkən oxunur, ona görə onu redaktə etmək kifayət deyil. Profilləri yenidən yükləyin, sonra qoşulmanı açıq şəkildə qaldırın.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Yenidən yükləmə dəyişikliyi götürmürsə, xidmətin tam yenidən başladılması götürür və bununla bağlı məlumatlar var. Digər keçidlər vacib olduqda yenidən yükləməyə üstünlük verin, çünki xidməti yenidən başlatmaq hər idarə olunan qoşulmanı kəsir və uzaq hostda bu, istədiyiniz tunel qalxmazdan əvvəl sessiyanızı bitirə bilər.

Adlar ikimənalı olduqda UUID-dən istifadə edin. Bir neçə müştəri profili olan maşınlarda demək olar ki, dublikatlar yığılır və səhv olanı aktivləşdirmək etimad məlumatı problemi kimi görünən uğursuzluq yaradır.

Saxlanılan sirr problem deyilsə

FortiSSL profili düzgün saxlanılan etimad məlumatı ilə belə uğursuz ola bilər, çünki müştəri heç vaxt şlüzün sertifikatına etibar etmir. Bu parametr əsas dialoqda deyil; o, VPN-in qabaqcıl seçimlərinin arxasındadır, etibarlı sertifikat həzmi orada daxil edilir. Jurnal parol deyil, sertifikatdan bəhs edirsə, bu budaqdasınız və [vpn-secrets] redaktə etməyin heç bir miqdarı kömək etməyəcək.

Buraya daha iki yoxlama aiddir. Profilin plaginin oxuya bilmədiyi yola hələ də işarə edən fayldan idxal olunmadığını təsdiqləyin və profilin köhnə dublikat deyil, aktiv olan olduğunu təsdiqləyin. Hər ikisi autentifikasiya xətası kimi oxunan aktivləşdirmə uğursuzluğu yaradır.

Saxlamanın məqbul olub-olmadığına qərar verin

Saxlanılan PSK və parol həmin maşında root kimi işləyən hər şey tərəfindən oxuna bilər. Nəzarət etdiyiniz bir qutuda bu, başsız xidmət üçün məqbul bir mübadilədir. Paylaşılan hostda bu, söhbətə layiqdir, çünki profil indi əvvəllər masaüstü açarlığı ilə qorunan etimad məlumatını ehtiva edir. Qərar verməzdən əvvəl soruşun ki, həmin hostda root-a başqa kim çata bilər, dəyişiklik yerinə oturandan sonra yox.

Siyasət saxlanılan VPN sirrlərini qadağan edirsə, cron tapşırığını işlətmək üçün profili zəiflətməyin. Qoşulmanı agenti olan sessiyadan işlədin və ya avtomatlaşdırma üçün başqa mexanizmdən istifadə edin.

Nəhayət, hansı profillərin sirr daşıdığını qeyd edin ki, kimsə görmədən birini noutbuka köçürməsin. Sirrlər bölməsinin üstündə tarix və səbəbi göstərən şərh kifayətdir və bu, kiməsə sonradan narahat bir baxış qənaət edəcək.