Golygydd VPN o bell dros SSH: pa beiriant rydych chi'n ei olygu?

Mae anfon X11 yn rhoi ffenestr y golygydd ar eich gliniadur tra bo'r broses yn parhau i redeg ar y gwesteiwr o bell. Y bwlch hwnnw yw'r fagl gyfan: rydych chi'n edrych ar ffenestr leol ac yn golygu proffil o bell, a gall tybiaeth anghywir am ba beiriant sy'n berchen ar y newid dorri'r ddolen SSH rydych chi'n gweithio drosti. Mae'r rhestr wirio isod yn pennu'r gwesteiwr a'r proffil cyn i unrhyw beth gael ei gadw. Mae gan bob cam amod stopio, felly mae methiant cynnar yn rhad.

Cam 1: enwch y peiriant sy'n berchen ar y proffil

Rhedwch y gorchmynion adnabyddiaeth yn y plisgyn rydych chi ar fin ei ffurfweddu, a darllenwch yr ateb yn lle ei dybio o'r anogwr. Mae enw gwesteiwr mewn anogwr yn llinyn a argraffwyd gan eich plisgyn; enw gwesteiwr y cnewyllyn yw'r hyn y mae gweddill y rhestr hon yn ymddiried ynddo. Os yw'r ddau'n anghytuno, rydych chi ar y peiriant anghywir neu mae'r anogwr wedi'i addurno gan eich plisgyn lleol. Stopiwch ac ailgysylltwch â'r gwesteiwr arfaethedig cyn parhau.

hostnamectl
hostname -f
ip -brief address

Y cwestiwn nesaf yw a ddylai'r peiriant hwn gynnal y VPN o gwbl. Mae ffurfweddu cleient y gliniadur a ffurfweddu cleient y gwesteiwr o bell yn cynhyrchu llwybrau gwahanol, DNS gwahanol a dulliau methu gwahanol. Penderfynwch pa un rydych chi'n ei olygu cyn i chi gyffwrdd â phroffil, ac ysgrifennwch y penderfyniad lle bydd y person nesaf yn dod o hyd iddo.

Cam 2: darllenwch y proffil drwy UUID, nid drwy label

Mae NetworkManager yn adnabod cysylltiad drwy UUID, tra bo'r enw'n label y gall unrhyw un ei olygu neu ei ddyblygu. Rhestrwch y ddau a chyfatebwch y cofnod rydych chi wir yn ei olygu, yn enwedig ar westeiwr lle mae sawl proffil VPN wedi'i fewnforio dros y blynyddoedd.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Mae cofnodion wedi'u cadw a chysylltiadau gweithredol yn ateb cwestiynau gwahanol: mae'r cyntaf yn rhestru'r hyn sy'n bodoli, mae'r ail yn rhestru'r hyn sy'n cario traffig nawr. Mae'r llinell caniatâd yn disgrifio polisi lleol ar gyfer eich sesiwn ac yn dweud dim am a fydd y porth VPN yn derbyn y cyfrif. Os nad yw'r proffil sydd ei angen arnoch yn y rhestr gadw, stopiwch yma, oherwydd mae golygu'r cofnod anghywir yn waeth na pheidio â golygu o gwbl.

Unwaith y bydd gennych yr UUID, rhowch ef mewn newidyn a defnyddiwch y newidyn hwnnw ym mhob gorchymyn dilynol. Mae hynny'n dileu dosbarth cyfan o gamgymeriadau copïo a gludo ac yn gwneud y trawsgrifiad yn atgynhyrchadwy.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Cam 3: penderfynwch ai golygydd graffigol yw'r teclyn iawn

Ni fydd golygydd sy'n gofyn am anogwr polkit neu asiant cyfrinachau yn ei gael dim ond oherwydd bod ei ffenestr yn ymddangos ar eich gliniadur. Mae'r cydrannau hynny'n rhedeg yng nghyd-destun y sesiwn o bell, ac nid yw anfon arddangosfa yn eu hanfon nhw. Os yw'r golygydd yn methu cadw gyda gwall awdurdodi neu gyfrinach, nid yr arddangosfa yw'r broblem.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

Mae OpenSSH yn galluogi anfon X11 gyda -X ac yn dogfennu'r gofal sy'n cyd-fynd ag ef: gall y gwesteiwr o bell gyrraedd eich arddangosfa leol, sy'n ffin ymddiriedaeth go iawn. Mae anfon ag ymddiriedaeth gyda -Y yn tynnu rhai o'r gwiriadau hynny ac ni ddylai fyth fod yn ateb reflex i raglen sy'n methu o dan y rhagosodiad. Os yw eich sefydliad yn cyhoeddi dull gweinyddu o bell, defnyddiwch hwnnw yn lle dyfeisio amrywiad. Yn y rhan fwyaf o achosion, y golygydd llinell orchymyn yw'r arwynebedd lleiaf a'r ateb gorau.

Stopiwch yma os mai'r unig lwybr sy'n gweithio sydd angen -Y ac na allwch esbonio pam. Penderfyniad i'r sawl sy'n berchen ar y polisi diogelwch yw hynny, nid ffordd o osgoi i'w chadw mewn sgript bersonol.

Cam 4: cadwch lwybr adfer cyn i chi weithredu unrhyw beth

Gall newid VPN dynnu'r llwybr y mae eich sesiwn SSH yn dibynnu arno, felly trefnwch ffordd yn ôl cyn i chi weithredu'r proffil. Mae mynediad consol, cyfeiriad rheoli all-linell neu rowlio'n ôl ar amser i gyd yn cyfrif; nid yw gobaith y bydd y newid yn gweithio yn cyfrif.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Gweithredwch y proffil arfaethedig yn unig, yna gwiriwch o'r gwesteiwr o bell: y llwybr rhagosodedig, llwybr dychwelyd SSH ac un adnodd y dylid gallu ei gyrraedd drwy'r twnnel. Mae gwiriad llwyddiannus o'ch gliniadur yn profi llwybr y gliniadur ac yn dweud dim am y gwesteiwr o bell. Os yw'r sesiwn yn cwympo, defnyddiwch y llwybr adfer yn lle ailgysylltu'n ddall. Nid yw cadw proffil yn weithrediad, ac nid yw gweithrediad yn wirio.

Cofnodwch yr UUID, y gwerthoedd eiddo a newidiasoch a'r gorchmynion a ddefnyddiwyd gennych i'w gwirio. Bydd yr un nesaf sy'n cyffwrdd â'r gwesteiwr hwn angen y tri, ac mae trawsgrifiad yn werth mwy na chrynodeb sy'n dweud bod y VPN wedi'i drwsio. Mae rhestr wirio sy'n gorffen heb nodyn rollback yn hanner rhestr.