Vzdálený editor VPN přes SSH: který počítač upravujete?

Přesměrování X11 umístí okno editoru na váš notebook, zatímco proces dál běží na vzdáleném hostiteli. Tato mezera je celá past: díváte se na místní okno a upravujete vzdálený profil a chybný předpoklad o tom, který počítač změnu vlastní, může přerušit SSH spojení, přes které pracujete. Kontrolní seznam níže zafixuje hostitele i profil dřív, než se cokoli uloží. Každý krok má podmínku zastavení, takže rané selhání je levné.

Krok 1: pojmenujte počítač, který profil vlastní

Spusťte příkazy identity v shellu, který se chystáte konfigurovat, a odpověď si přečtěte, místo abyste ji předpokládali z promptu. Název hostitele v promptu je řetězec, který vytiskl váš shell; název hostitele jádra je to, čemu věří zbytek tohoto seznamu. Pokud se oba rozcházejí, jste na špatném počítači nebo prompt zdobí váš místní shell. Zastavte se a před pokračováním se znovu připojte k zamýšlenému hostiteli.

hostnamectl
hostname -f
ip -brief address

Další otázka je, zda má tento počítač VPN vůbec hostovat. Konfigurace klienta notebooku a konfigurace klienta vzdáleného hostitele vytvářejí různé trasy, různé DNS a různé režimy selhání. Rozhodněte, který z nich máte na mysli, než se dotknete profilu, a rozhodnutí zapište tam, kde ho najde další člověk.

Krok 2: čtěte profil podle UUID, ne podle názvu

NetworkManager identifikuje připojení podle UUID, zatímco název je štítek, který může kdokoli upravit nebo zduplikovat. Vypište obojí a porovnejte právě ten záznam, který zamýšlíte, zvláště na hostiteli, kde se během let importovalo několik VPN profilů.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Uložené záznamy a aktivní připojení odpovídají na různé otázky: první vypisuje, co existuje, druhé vypisuje, co právě přenáší provoz. Řádek oprávnění popisuje místní politiku pro vaši relaci a nic neříká o tom, zda VPN brána účet přijme. Pokud profil, který potřebujete, není v uloženém seznamu, zastavte se zde, protože úprava špatného záznamu je horší než žádná úprava.

Jakmile máte UUID, uložte ho do proměnné a tuto proměnnou používejte v každém dalším příkazu. Odstraní to celou třídu chyb při kopírování a vkládání a přepis se stane reprodukovatelným.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Krok 3: rozhodněte, zda je grafický editor správný nástroj

Editor, který potřebuje výzvu polkit nebo agenta tajemství, ji nedostane jen proto, že se jeho okno objeví na vašem notebooku. Tyto komponenty běží v kontextu vzdálené relace a přesměrování displeje je nepřesměruje. Pokud editor nedokáže uložit kvůli chybě autorizace nebo tajemství, problém není v displeji.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH povoluje přesměrování X11 pomocí -X a dokumentuje opatrnost, která s tím jde: vzdálený hostitel může dosáhnout vašeho místního displeje, což je skutečná hranice důvěry. Důvěryhodné přesměrování pomocí -Y odstraňuje část těchto kontrol a nikdy by nemělo být reflexním řešením aplikace, která selhává při výchozím nastavení. Pokud vaše organizace zveřejňuje metodu vzdálené správy, použijte ji, místo abyste vymýšleli variantu. Ve většině případů je editor příkazového řádku menší plocha a lepší odpověď.

Zastavte se zde, pokud jediná funkční cesta vyžaduje -Y a nedokážete vysvětlit proč. To je rozhodnutí pro toho, kdo vlastní bezpečnostní politiku, ne obchvat, který si necháte v osobním skriptu.

Krok 4: než cokoli aktivujete, připravte cestu pro obnovu

Změna VPN může odstranit trasu, na které závisí vaše SSH relace, takže si před aktivací profilu připravte cestu zpět. Konzolový přístup, adresa pro mimosíťovou správu nebo naplánovaný rollback se všechny počítají; naděje, že změna bude fungovat, se nepočítá.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktivujte pouze zamýšlený profil a poté ověřte ze vzdáleného hostitele: výchozí trasu, návratovou cestu SSH a jeden prostředek, který by měl být dostupný tunelem. Úspěšná kontrola z vašeho notebooku testuje cestu notebooku a o vzdáleném hostiteli neříká nic. Pokud relace spadne, použijte cestu obnovy, místo abyste se připojovali naslepo. Uložení profilu není aktivace a aktivace není ověření.

Zapište UUID, změněné hodnoty vlastností a příkazy, kterými jste je ověřili. Další člověk, který se tohoto hostitele dotkne, bude potřebovat všechny tři, a přepis má větší cenu než shrnutí, že VPN je opravená. Kontrolní seznam, který končí bez poznámky o rollbacku, je poloviční seznam.