Zašto VPN servis pokrenut pri podizanju sistema ne može pročitati vaš prsten ključeva

Veza koja radi nakon prijave, a ne uspijeva prije nje, obično znači da pokušaj pri podizanju nije mogao dobiti tajnu, a ne da ju je server odbio. Akreditiv postoji; kontekst koji ga traži ne postoji. Ta jedna razlika štedi nepotrebno resetovanje lozinke.

Pratite zahtjev: nešto pokreće vezu prije nego što postoji sesija radne površine, a spremište tajni koje inače odgovara još nije otključano. Dva konteksta se ne slažu oko toga kome tajna pripada, a profil bilježi koji od njih treba da ju dostavi.

Šta putanja podizanja zapravo traži

Pri podizanju sistema NetworkManager se pokreće kao sistemski servis bez korisničke sesije, bez sesijskog D-Busa i bez otključanog prstena ključeva. Profil veze se ipak može podići, ali samo s tajnama do kojih servis može doći sam. Sve što posjeduje agent za tajne čeka dok se čovjek ne prijavi i agent se ne pojavi. Servis radi tačno ono što kaže njegova konfiguracija; profil je ono što se mora promijeniti.

Kvar je upisan u vezu, a ne skriven u prstenu ključeva.

Čitanje zastavica tajni na vezi

Pitajte vezu šta očekuje, a ne šta radna površina pamti. Kolona zastavica direktno odgovara na pitanje i preživljava ponovna pokretanja u datoteci profila na disku.

Počnite sa listom profila, pa potvrdite koja je veza postavljena da se podiže sama. Zatim ispišite jednu vezu i pročitajte zastavice lozinke:

nmcli -f NAME,UUID,TYPE,AUTOCONNECT connection show
nmcli connection show "Work VPN" | grep -i -E "password|secret|key"
journalctl -b -u NetworkManager --grep "secret"

Prva naredba potvrđuje koji profili postoje i je li neki postavljen na automatsko povezivanje, čime se uopšte pokreće pokušaj bez nadzora. Druga otkriva vrijednosti zastavica, a treća pokazuje kako se servis žali da nijedan agent nije odgovorio za datu tajnu. Linija dnevnika koja tajnu naziva agentovom jeste cijela dijagnoza u jednoj rečenici.

Zašto premještanje veze u sistemski opseg mijenja odgovor

Vezu koju posjeduje korisnik aktivira njegov agent, zato savršeno radi kad se radna površina podigne. Premještanje u sistemski opseg uklanja agenta s putanje, pa se isti profil ponaša drugačije bez ijedne promijenjene linije VPN konfiguracije.

To premještanje je legitiman dizajn i nosi zahtjev: tajna mora biti dostupna sistemskom servisu. Čuvanje u profilu, dostavljanje kroz akreditiv sistemskog opsega ili prihvatanje interaktivnog upita u pravom trenutku sve su valjani odgovori. Ostaviti zastavicu 1 i nadati se nije.

Privatni ključ s vlastitom lozinkom dodaje drugi sloj. Čak ni sačuvana lozinka računa neće otključati ključ koji traži lozinku, zato provjerite koju tajnu faza koja ne uspijeva zapravo traži prije nego što bilo šta promijenite.

Šta ne treba raditi i šta umjesto toga raditi

Učiniti svaku datoteku akreditiva čitljivom za sve ili isključiti provjeru identiteta da upit ne bi bio potreban razmjenjuje neugodnost pri pokretanju za trajnu izloženost. Oboje i skriva zavisnost umjesto da je rješava, a sljedeće ažuriranje slike vraća isti kvar.

Koristite mehanizam koji vaša distribucija dokumentuje za aktivaciju bez nadzora u toj fazi, pa potvrdite da se zastavice profila s njim poklapaju. Provjerite rezultat s čistog podizanja, a ne iz ljuske koja već ima agenta. Zapišite vlasnika veze, izvor tajne i fazu koja mora raditi, da kasnija promjena automatskog pokretanja ne bi tiho vratila zavisnost od toga da neko prvo otključa radnu površinu. Dokumentacija je razlika između popravljenog servisa i onog koji se opet kvari sljedeći kvartal.

Testirajte s kontrolisanog čistog podizanja, a ne ručnim ponovnim pokušajem nakon prijave. Ponovni pokušaj uspijeva zbog razloga zbog kojeg je pokušaj pri podizanju propao, i to je upravo dokaz koji brz test uništava.