nmcli yn gofyn am gyfrinair VPN o hyd: storiwch y gyfrinach yn lleol

Yr un proffil, dwy sesiwn: mae'n cysylltu o'r bwrdd gwaith ac yn hongian dros SSH ar neges na all unrhyw beth ei hateb. Nid oes dim wedi torri ac nid oes unrhyw osodiad wedi'i golli. Mae NetworkManager yn gofyn i weithredydd cyfrineiriau am y cymhwyster, ac mae gweithredydd cyfrineiriau yn gydran bwrdd gwaith nad yw'n bodoli yn y sesiwn rydych yn ei defnyddio.

Rhedwch y dilyniant isod a bydd y twnnel yn codi heb ryngwyneb, gyda'r rhybudd bod storio cyfrinach yn newid pwy all ddefnyddio'r proffil hwnnw.

Cadarnhewch y diagnosis cyn newid unrhyw beth

Y gwahaniaeth rhwng gweithredu rhyngweithiol ac anrhyngweithiol yw'r diagnosis cyfan. Os yw nmcli --ask connection up yn llwyddo tra bod gweithrediad arferol yn oedi, mae'r proffil yn gywir a mae ffynhonnell y gyfrinach ar goll. Mae'r un gymhariaeth honno yn eich arbed rhag ailysgrifennu ffurfweddiad sy'n gweithio.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Darllenwch y baneri yn lle eu dyfalu. Y gwerthoedd sy'n golygu "gofyn i weithredydd" yw'r hyn rydych yn chwilio amdano, ac mae'r enwau allweddol union yn wahanol rhwng ategion VPN oherwydd eu bod yn byw yng ngeiriadur data'r ategyn ei hun. Nid yw proffil FortiSSL a phroffil IPsec o reidrwydd yn defnyddio'r un enwau, felly gweithiwch o allbwn eich proffil eich hun.

Cadarnhewch hefyd fod pecyn yr ategyn ar gyfer y protocol hwnnw wedi'i osod. Mae ategyn ar goll yn ymddangos fel math cysylltiad anhysbys neu fel gwall gweithredu nad yw'n dweud dim am gyfrineiriau, ac mae mynd ar drywydd y gyfrinach yn y cyflwr hwnnw yn gwastraffu'r un awr ddwywaith. Mae un ymholiad pecyn yn rhatach na phrynhawn cyfan o olygu ffeiliau allwedd.

Symudwch y gyfrinach i'r ffeil allwedd

Mae'r ffeil gysylltiad yn byw o dan /etc/NetworkManager/system-connections/. Nid yw cyfrineiriau yn cael eu cadw yno yn ddiofyn, a dyna ystyr y baneri rydych newydd eu darllen. Mae newid baner i sero yn dweud wrth NetworkManager fod y gwerth wedi'i storio gyda'r proffil yn hytrach na'i ofyn ar amser gweithredu.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Ar gyfer proffil sydd â dwy gyfrinach, mae'r patrwm yn ailadrodd: un faner y gyfrinach yn adran [vpn], a'r gwerthoedd yn [vpn-secrets]. Mae proffil IPsec fel arfer yn cario allwedd a rannwyd ymlaen llaw ochr yn ochr â chymhwyster y defnyddiwr, ac mae'r ategyn yn eu henwi'n wahanol i faes cyfrinair arferol, felly copïwch yr enwau allweddol o allbwn vpn.data yn hytrach nag o swydd blog a ddefnyddiodd ategyn arall. Mae un enw allweddol ar goll yn cynhyrchu proffil sy'n llwytho ac yna'n methu wrth ddilysu, sy'n darllen yn union fel cyfrinair gwael. Cymharwch eich ffeil â phroffil sy'n gweithio o'r un ategyn cyn i chi gysylltu eto.

Rhowch ddyfynnodau o amgylch gwerthoedd sy'n cynnwys bylchau, dyfynnodau neu arwydd doler. Bydd gwerth heb ddyfynnodau gyda $ ynddo yn cael ei ddarllen yn llythrennol neu'n cael ei ehangu yn dibynnu ar ble mae'n cael ei dosrannu, ac mae'r methiant dilysu sy'n deillio o hynny yn edrych fel cyfrinair anghywir.

Yna trwsiwch berchnogaeth a modd y ffeil. Mae'r ffeiliau allwedd hyn yn cael eu darllen gan wasanaeth breintiedig ac mae ffeil y gall defnyddwyr eraill ei darllen yn cael ei thrin fel un annibynadwy, sef y rheswm arferol pam mae proffil wedi'i olygu yn ymddangos fel pe bai'n cael ei anwybyddu. Perchennog root, modd 600, dim eithriadau.

Ail-lwythwch, yna gweithredwch

Mae'r ffeil yn cael ei darllen pan lwythir y cysylltiad, felly nid yw ei golygu yn ddigon. Ail-lwythwch y proffiliau ac yna codwch y cysylltiad yn benodol.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Os nad yw'r ail-lwytho yn codi'r newid, mae ailgychwyn llawn o'r gwasanaeth yn ei wneud, ac mae adroddiadau o hynny'n union. Dewiswch yr ail-lwytho pan fo cysylltiadau eraill yn bwysig, oherwydd mae ailgychwyn y gwasanaeth yn torri pob cysylltiad a reolir, ac ar westeiwr o bell gall hynny roi diwedd ar eich sesiwn cyn i'r twnnel yr oeddech ei eisiau godi.

Defnyddiwch yr UUID pan fo enwau'n amwys. Mae peiriannau â sawl proffil cwsmer yn cronni bron-ddyblygiadau, ac mae gweithredu'r un anghywir yn cynhyrchu methiant sy'n edrych fel problem cymhwyster.

Pan nad y gyfrinach a storir yw'r broblem

Gall proffil FortiSSL fethu hyd yn oed gyda chymhwyster cywir wedi'i storio oherwydd nad yw'r cleient byth yn ymddiried yn nogfennod y porth. Nid yw'r gosodiad hwnnw ar y prif ddeialog; mae y tu ôl i opsiynau uwch y VPN, lle mae crynodeb y dystysgrif ymddiriedig yn cael ei nodi. Os yw'r log yn sôn am y dystysgrif yn hytrach na'r cyfrinair, rydych yn y gangen hon ac ni fydd unrhyw faint o olygu [vpn-secrets] yn helpu.

Mae dau wirjad arall yn perthyn yma. Cadarnhewch na chafodd y proffil ei fewnforio o ffeil sy'n dal i bwyntio at lwybr na all yr ategyn ei ddarllen, a chadarnhewch mai y proffil yw'r un gweithredol yn hytrach na dyblygiad hen ffasiwn. Mae'r ddau yn cynhyrchu methiannau gweithredu sy'n darllen fel gwallau dilysu.

Penderfynwch a yw storio yn dderbyniol

Mae PSK a chyfrinair wedi'u storio yn ddarllenadwy gan unrhyw beth sy'n rhedeg fel root ar y peiriant hwnnw. Ar flwch rydych yn ei reoli mae hynny'n fasnach deg am wasanaeth heb ryngwyneb. Ar westeiwr a rennir mae'n haeddu sgwrs, oherwydd mae'r proffil nawr yn cynnwys cymhwyster a oedd gynt yn cael ei warchod gan gylch allweddi'r bwrdd gwaith. Gofynnwch pwy arall all gyrraedd root ar y gwesteiwr hwnnw cyn i chi benderfynu, nid ar ôl i'r newid fod yn ei le.

Os yw polisi'n gwahardd storio cyfrineiriau VPN, peidiwch â gwanhau'r proffil i wneud i dasg cron weithio. Rhedwch y cysylltiad o sesiwn sydd â gweithredydd, neu defnyddiwch fecanwaith arall ar gyfer yr awtomeiddio.

Yn olaf, cofnodwch ba broffiliau sy'n cario cyfrineiriau fel na fydd unrhyw un yn copïo un i liniadur heb sylwi. Mae sylw uwchben yr adran gyfrineiriau gyda'r dyddiad a'r rheswm yn ddigon, a bydd yn arbed adolygiad annifyr i rywun yn ddiweddarach.