Udaljeni VPN uređivač preko SSH-a: koji računar uređujete?

X11 prosljeđivanje stavlja prozor uređivača na vaš laptop dok proces nastavlja raditi na udaljenom hostu. Ta praznina je cijela zamka: gledate lokalni prozor i uređujete udaljeni profil, a pogrešna pretpostavka o tome koji računar posjeduje promjenu može prekinuti SSH vezu preko koje radite. Kontrolna lista ispod fiksira host i profil prije nego što se bilo šta sačuva. Svaki korak ima uslov za zaustavljanje, pa je rani neuspjeh jeftin.

Korak 1: imenujte računar koji posjeduje profil

Pokrenite komande identiteta u ljusci koju ćete konfigurirati i pročitajte odgovor umjesto da ga pretpostavljate iz upita. Ime hosta u upitu je niz koji je ispisala vaša ljuska; ime hosta kernela je ono u šta vjeruje ostatak ove liste. Ako se dva razlikuju, na pogrešnom ste računaru ili je upit ukrasila vaša lokalna ljuska. Zaustavite se i ponovo se povežite na željeni host prije nego što nastavite.

hostnamectl
hostname -f
ip -brief address

Sljedeće pitanje je treba li ovaj računar uopće držati VPN. Konfiguriranje klijenta laptopa i konfiguriranje klijenta udaljenog hosta daju različite rute, različit DNS i različite načine otkaza. Odlučite koji od njih mislite prije nego što dotaknete profil i zapišite odluku tamo gdje će je sljedeća osoba naći.

Korak 2: čitajte profil po UUID-u, a ne po oznaci

NetworkManager identificira vezu po UUID-u, dok je ime oznaka koju bilo ko može urediti ili duplicirati. Izlistajte oboje i uparite unos koji zaista namjeravate, posebno na hostu gdje je tokom godina uvezeno nekoliko VPN profila.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Sačuvani unosi i aktivne veze odgovaraju na različita pitanja: prvo navodi šta postoji, drugo navodi šta trenutno nosi saobraćaj. Red o dozvolama opisuje lokalnu politiku za vašu sesiju i ne govori ništa o tome hoće li VPN gateway prihvatiti račun. Ako profil koji vam treba nije na sačuvanoj listi, zaustavite se ovdje, jer uređivanje pogrešnog unosa je gore od nikakvog uređivanja.

Kada imate UUID, stavite ga u varijablu i koristite tu varijablu u svakoj narednoj komandi. To uklanja cijelu klasu grešaka kopiranja i lijepljenja i čini transkript ponovljivim.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Korak 3: odlučite je li grafički uređivač pravi alat

Uređivač kojem treba polkit upit ili agent za tajne neće ga dobiti samo zato što se njegov prozor pojavio na vašem laptopu. Te komponente rade u kontekstu udaljene sesije, a prosljeđivanje ekrana ih ne prosljeđuje. Ako uređivač ne može da sačuva zbog greške autorizacije ili tajne, ekran nije problem.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH omogućava X11 prosljeđivanje pomoću -X i dokumentuje oprez koji ide s tim: udaljeni host može dosegnuti vaš lokalni ekran, što je stvarna granica povjerenja. Pouzdano prosljeđivanje pomoću -Y uklanja dio tih provjera i nikada ne bi trebalo da bude refleksno rješenje za aplikaciju koja pada pod zadanim postavkama. Ako vaša organizacija objavljuje metodu udaljene administracije, koristite tu umjesto izmišljanja varijante. U većini slučajeva uređivač komandne linije je manja površina i bolji odgovor.

Zaustavite se ovdje ako jedini radni put zahtijeva -Y i ne možete objasniti zašto. To je odluka za onoga koji posjeduje sigurnosnu politiku, a ne zaobilazno rješenje koje treba držati u ličnoj skripti.

Korak 4: osigurajte put oporavka prije nego što bilo šta aktivirate

VPN promjena može ukloniti rutu o koju zavisi vaša SSH sesija, pa uredite put nazad prije nego što aktivirate profil. Konzolni pristup, adresa za vanpojasno upravljanje ili zakazani rollback sve se računaju; nada da promjena radi ne računa se.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktivirajte samo namjeravani profil, zatim provjerite sa udaljenog hosta: zadanu rutu, povratni put SSH-a i jedan resurs koji bi trebao biti dostupan kroz tunel. Uspješna provjera s vašeg laptopa testira put laptopa i ne govori ništa o udaljenom hostu. Ako sesija padne, koristite put oporavka umjesto ponovnog povezivanja naslijepo. Čuvanje profila nije aktivacija, a aktivacija nije provjera.

Zabilježite UUID, vrijednosti svojstava koje ste promijenili i komande kojima ste ih provjerili. Sljedećoj osobi koja dotakne ovaj host trebat će sve troje, a transkript vrijedi više od sažetka koji kaže da je VPN popravljen. Kontrolna lista koja završava bez napomene o rollbacku je pola liste.