Doneu a cada compte VPN el seu propi llançador de NetworkManager

Dos comptes VPN, una passarel·la i una icona d'escriptori que es connecta com l'últim que la va fer servir. La causa habitual és un llançador que reescriu el nom d'usuari d'un perfil compartit just abans de connectar-se, o un que busca un nom de visualització que tots dos perfils comparteixen. NetworkManager ja distingeix els perfils per UUID, així que la icona pot nomenar exactament un d'ells i deixar la identitat tranquil·la. El que no ha de portar és la contrasenya.

Un llançador és un punter, no un magatzem de credencials.

Trobeu l'UUID i confirmeu la identitat

Lliste les connexions desades i llegiu l'UUID, l'ID de connexió i el nom d'usuari que desa cada perfil. Confirmeu quin perfil pertany a quin compte abans de crear res, perquè un nom de visualització és una etiqueta i no una clau. Si els dos comptes necessiten passarel·les diferents o perfils diferents, això és una tasca de configuració a part.

Feu servir l'UUID al llançador. La cerca pel nom de visualització funciona fins que algú canvia el nom d'un perfil, i llavors la icona es connecta com el compte equivocat o com res.

Escriviu l'entrada d'escriptori

Una entrada d'escriptori necessita un tipus, un nom i una línia executable. L'ordre ha de fer pujar aquest UUID i deixar que NetworkManager demani el secret, que és per a què serveix nmcli --ask connection up uuid .... Mantingueu Terminal=true perquè el missatge sigui visible quan calgui un secret. Substituïu el marcador de posició per l'UUID que heu observat realment i no afegiu un embolcall de shell només per amagar el missatge.

L'especificació Desktop Entry defineix Exec com el programa i els seus arguments. No és un script de shell i no en necessita cap.

Deixeu que l'agent guardi el secret

Els secrets pertanyen a l'agent per usuari, a l'anell de claus o a un missatge interactiu. Una contrasenya dins de Exec és visible a la llista de processos, al fitxer d'escriptori i a qualsevol captura del diàleg de propietats. Si el perfil necessita un secret, deixeu que el missatge compatible el reculli i que l'agent el recordi per a aquest usuari.

--ask és interactiu per disseny. No és una recepta per a l'automatització sense supervisió i no garanteix que cada repte d'autenticació o connector es pugui programar.

No recorreu a sudo

L'autorització per modificar o activar una connexió és un permís del NetworkManager concedit per la seva política, no un privilegi d'Unix. Executar el llançador amb sudo no dona al procés l'anell de claus d'un altre usuari ni arregla un rebuig de la passarel·la. En una màquina compartida, reviseu quins comptes locals veuen quins perfils i qui posseeix cada secret; les icones separades no creen aïllament per si soles.

Dos perfils actius per a la mateixa passarel·la també poden competir per les rutes o infringir una regla de concurrència. Això és una qüestió de política, no un error del llançador.

Verifiqueu tota l'acció

Activeu el llançador un cop i confirmeu tres coses: l'UUID que ha pujat, la identitat que ha vist la passarel·la i si ha aparegut un missatge de secret on l'esperàveu. Si la connexió falla, quedeu-vos amb el primer missatge d'error. Afegir la contrasenya a la línia d'ordres perquè la drecera sembli autosuficient amaga aquest error i crea un problema pitjor.

Escriviu l'UUID i la correspondència dels comptes a les notes de l'equip. La propera persona que canviï un perfil ha de saber quina icona en depèn, i aquesta nota és el que evita que un canvi de nom esdevingui una caiguda.