nmcli stalno traži VPN lozinku: sačuvajte tajnu lokalno

Isti profil, dvije sesije: povezuje se s desktopa i visi preko SSH-a na upitu na koji ništa ne može odgovoriti. Ništa nije pokvareno i nijedna postavka nije izgubljena. NetworkManager traži akreditive od agenta za tajne, a agent za tajne je desktop komponenta koja ne postoji u sesiji koju koristite.

Pokrenite niz ispod i tunel će se podići bez grafičkog okruženja, uz napomenu da čuvanje tajne mijenja ko može koristiti taj profil.

Potvrdite dijagnozu prije nego što bilo šta mijenjate

Razlika između interaktivne i neinteraktivne aktivacije je cijela dijagnoza. Ako nmcli --ask connection up uspije dok obična aktivacija zapne, profil je ispravan i izvor tajne nedostaje. To jedno poređenje spašava vas od prepisivanja radne konfiguracije.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Čitajte zastavice umjesto da ih pogađate. Vrijednosti koje znače "pitaj agenta" su ono što tražite, a tačna imena ključeva razlikuju se između VPN dodataka jer žive u vlastitom rječniku podataka dodatka. FortiSSL profil i IPsec profil ne koriste nužno ista imena, pa radite iz izlaza vlastitog profila.

Također provjerite da je paket dodatka za taj protokol instaliran. Nedostajući dodatak se pojavljuje kao nepoznat tip veze ili kao greška aktivacije koja ništa ne govori o lozinkama, a jurenje tajne u tom stanju dvaput troši isti sat. Jedan upit za paket je jeftiniji od cijelog popodneva uređivanja keyfileova.

Premjestite tajnu u keyfile

Datoteka veze nalazi se pod /etc/NetworkManager/system-connections/. Tajne se tamo podrazumijevano ne čuvaju, i to je smisao zastavica koje ste upravo pročitali. Promjena zastavice na nulu govori NetworkManageru da je vrijednost sačuvana uz profil umjesto da se traži pri aktivaciji.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Za profil s dvije tajne obrazac se ponavlja: jedna zastavica po tajni u odjeljku [vpn], a vrijednosti u [vpn-secrets]. IPsec profil obično nosi unaprijed dijeljeni ključ uz korisničke akreditive, a dodatak ih imenuje drugačije od običnog polja za lozinku, pa kopirajte imena ključeva iz izlaza vpn.data, a ne iz blog posta koji je koristio drugi dodatak. Jedno pogrešno ime ključa stvara profil koji se učita i zatim ne uspije pri autentikaciji, što se čita baš kao pogrešna lozinka. Uporedite svoju datoteku s radnim profilom istog dodatka prije nego što se ponovo povežete.

Stavite u navodnike vrijednosti koje sadrže razmake, navodnike ili znak dolara. Vrijednost bez navodnika sa znakom $ bit će pročitana doslovno ili proširena ovisno o tome gdje se parsira, a rezultirajući neuspjeh autentikacije izgleda kao pogrešna lozinka.

Zatim popravite vlasništvo i način rada datoteke. Ove keyfileove čita privilegovana usluga, a datoteka koju drugi korisnici mogu čitati smatra se nepouzdanom, što je uobičajen razlog zašto se uređeni profil čini ignoriranim. Vlasnik root, način 600, bez izuzetaka.

Ponovo učitajte, pa aktivirajte

Datoteka se čita kada se veza učita, pa uređivanje nije dovoljno. Ponovo učitajte profile i zatim eksplicitno podignite vezu.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Ako ponovno učitavanje ne preuzme promjenu, puni restart usluge to čini, i postoje izvještaji upravo o tome. Dajte prednost ponovnom učitavanju kada su drugi linkovi važni, jer restart usluge prekida svaku upravljanu vezu, a na udaljenom hostu to može završiti vašu sesiju prije nego što se željeni tunel podigne.

Koristite UUID kada su imena dvosmislena. Mašine s više korisničkih profila akumuliraju skoro duplikate, a aktivacija pogrešnog stvara neuspjeh koji izgleda kao problem s akreditivima.

Kada sačuvana tajna nije problem

FortiSSL profil može ne uspjeti čak i s ispravnim sačuvanim akreditivima jer klijent nikada ne vjeruje certifikatu pristupnika. Ta postavka nije u glavnom dijalogu; nalazi se iza naprednih opcija za VPN, gdje se unosi sažetak pouzdanog certifikata. Ako dnevnik spominje certifikat umjesto lozinke, vi ste u ovoj grani i nikakvo uređivanje [vpn-secrets] neće pomoći.

Ovdje pripadaju još dvije provjere. Potvrdite da profil nije uvezen iz datoteke koja još pokazuje na putanju koju dodatak ne može čitati, i potvrdite da je profil aktivni, a ne zastarjeli duplikat. Oba proizvode neuspjehe aktivacije koji se čitaju kao greške autentikacije.

Odlučite je li čuvanje prihvatljivo

Sačuvani PSK i lozinka čitljivi su svemu što radi kao root na toj mašini. Na kutiji koju kontrolišete to je razumna razmjena za uslugu bez grafičkog okruženja. Na dijeljenom hostu to zaslužuje razgovor, jer profil sada sadrži akreditive koje je prije štitio desktop keyring. Pitajte ko još može doći do roota na tom hostu prije nego što odlučite, a ne nakon što je promjena na mjestu.

Ako pravila zabranjuju čuvanje VPN tajni, nemojte slabiti profil da bi cron posao radio. Pokrenite vezu iz sesije koja ima agenta ili koristite drugi mehanizam za automatizaciju.

Na kraju, zabilježite koji profili nose tajne da niko ne kopira jedan na laptop a da to ne primijeti. Komentar iznad odjeljka s tajnama s datumom i razlogom je dovoljan i spasit će nekome neugodan pregled kasnije.