Fjern-VPN-editor over SSH: hvilken maskine redigerer du?

X11-videresendelse sætter editorens vindue på din bærbare, mens processen fortsætter med at køre på fjernværten. Det gab er hele fælden: du ser på et lokalt vindue og redigerer en fjernprofil, og en forkert antagelse om, hvilken maskine der ejer ændringen, kan klippe den SSH-forbindelse over, du arbejder over. Tjeklisten nedenfor fastlægger værten og profilen, før noget gemmes. Hvert trin har en stopbetingelse, så en tidlig fejl er billig.

Trin 1: navngiv den maskine, der ejer profilen

Kør identitetskommandoerne i det shell, du er ved at konfigurere, og læs svaret i stedet for at antage det ud fra prompten. Et værtsnavn i en prompt er en streng, dit shell har skrevet; kernens værtsnavn er det, resten af denne tjekliste stoler på. Hvis de to er uenige, er du på den forkerte maskine, eller prompten er pyntet af dit lokale shell. Stop, og genopret forbindelsen til den tilsigtede vært, før du fortsætter.

hostnamectl
hostname -f
ip -brief address

Det næste spørgsmål er, om denne maskine overhovedet skal holde VPN'en. At konfigurere den bærbares klient og at konfigurere fjernværtens klient giver forskellige ruter, forskellig DNS og forskellige fejltilstande. Beslut, hvilken du mener, før du rører en profil, og skriv beslutningen ned, hvor den næste person kan finde den.

Trin 2: læs profilen efter UUID, ikke efter navn

NetworkManager identificerer en forbindelse ved UUID, mens navnet er en etiket, som enhver kan redigere eller duplikere. Vis begge, og match den post, du faktisk mener, især på en vært, hvor flere VPN-profiler er importeret gennem årene.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Gemte poster og aktive forbindelser besvarer forskellige spørgsmål: den første viser, hvad der findes, den anden viser, hvad der bærer trafik lige nu. Tilladelseslinjen beskriver lokal politik for din session og siger intet om, hvorvidt VPN-gatewayen accepterer kontoen. Hvis den profil, du har brug for, ikke er på den gemte liste, så stop her, for at redigere den forkerte post er værre end slet ikke at redigere.

Når du har UUID'en, skal du lægge den i en variabel og bruge den variabel i hver senere kommando. Det fjerner en klasse af copy-paste-fejl og gør optegnelsen reproducerbar.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Trin 3: afgør, om en grafisk editor er det rigtige værktøj

En editor, der kræver en polkit-prompt eller en hemmelighedsagent, får ikke en, bare fordi dens vindue vises på din bærbare. De komponenter kører i fjernsessionens kontekst, og videresendelse af en skærm videresender dem ikke. Hvis editoren ikke kan gemme på grund af en autorisations- eller hemmelighedsfejl, er skærmen ikke problemet.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH aktiverer X11-videresendelse med -X og dokumenterer den forsigtighed, der følger med: fjernværten kan nå din lokale skærm, og det er en reel tillidsgrænse. Betroet videresendelse med -Y fjerner nogle af disse kontroller og bør aldrig være den refleksmæssige løsning på et program, der fejler under standardindstillingerne. Hvis din organisation offentliggør en metode til fjernadministration, så brug den i stedet for at opfinde en variant. I de fleste tilfælde er kommandolinjeeditoren den mindre overflade og det bedre svar.

Stop her, hvis den eneste fungerende vej kræver -Y og du ikke kan forklare hvorfor. Det er en beslutning for den, der ejer sikkerhedspolitikken, ikke en omvej, du gemmer i et personligt script.

Trin 4: hold en gendannelsesvej, før du aktiverer noget

En VPN-ændring kan fjerne den rute, din SSH-session afhænger af, så aftal en vej tilbage, før du aktiverer profilen. Konsoladgang, en out-of-band-administrationsadresse eller en planlagt tilbagerulning tæller alle; håbet om, at ændringen virker, gør ikke.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktivér kun den tilsigtede profil, og bekræft derefter fra fjernværten: standardruten, SSH-returvejen og én ressource, der bør kunne nås gennem tunnelen. En vellykket kontrol fra din bærbare tester den bærbares vej og siger intet om fjernværten. Hvis sessionen falder, så brug gendannelsesvejen i stedet for at genoprette forbindelsen i blinde. At gemme en profil er ikke aktivering, og aktivering er ikke bekræftelse.

Notér UUID'en, de egenskabsværdier du ændrede, og de kommandoer, du brugte til at bekræfte dem. Den næste person, der rører denne vært, får brug for alle tre, og en optegnelse er mere værd end et resumé, der siger, at VPN'en blev rettet. En tjekliste, der slutter uden en tilbagerulningsnote, er en halv tjekliste.