Το nmcli ζητά συνεχώς τον κωδικό πρόσβασης VPN: αποθηκεύστε το μυστικό τοπικά

Ίδιο προφίλ, δύο συνεδρίες: συνδέεται από την επιφάνεια εργασίας και κολλάει μέσω SSH σε ένα αίτημα που τίποτα δεν μπορεί να απαντήσει. Τίποτα δεν είναι χαλασμένο και καμία ρύθμιση δεν χάθηκε. Το NetworkManager ζητά το διαπιστευτήριο από έναν πράκτορα μυστικών, και ο πράκτορας μυστικών είναι στοιχείο της επιφάνειας εργασίας που δεν υπάρχει στη συνεδρία που χρησιμοποιείτε.

Εκτελέστε την παρακάτω ακολουθία και η σήραγγα θα σηκωθεί χωρίς γραφικό περιβάλλον, με την επιφύλαξη ότι η αποθήκευση ενός μυστικού αλλάζει ποιος μπορεί να χρησιμοποιεί αυτό το προφίλ.

Επιβεβαιώστε τη διάγνωση πριν αλλάξετε οτιδήποτε

Η διαφορά μεταξύ διαδραστικής και μη διαδραστικής ενεργοποίησης είναι όλη η διάγνωση. Αν το nmcli --ask connection up πετυχαίνει ενώ μια απλή ενεργοποίηση κολλάει, το προφίλ είναι σωστό και η πηγή του μυστικού λείπει. Αυτή η μία σύγκριση σας γλιτώνει από το ξαναγράψιμο μιας διαμόρφωσης που δουλεύει.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Διαβάστε τις σημαίες αντί να τις μαντεύετε. Οι τιμές που σημαίνουν "ρώτα πράκτορα" είναι αυτό που ψάχνετε, και τα ακριβή ονόματα κλειδιών διαφέρουν μεταξύ προσθέτων VPN επειδή ζουν στο δικό τους λεξικό δεδομένων. Ένα προφίλ FortiSSL και ένα προφίλ IPsec δεν χρησιμοποιούν απαραίτητα τα ίδια ονόματα, γι' αυτό δουλέψτε από την έξοδο του δικού σας προφίλ.

Επιβεβαιώστε επίσης ότι είναι εγκατεστημένο το πακέτο πρόσθετου για αυτό το πρωτόκολλο. Ένα πρόσθετο που λείπει εμφανίζεται ως άγνωστος τύπος σύνδεσης ή ως σφάλμα ενεργοποίησης που δεν λέει τίποτα για κωδικούς, και το κυνήγι του μυστικού σε αυτή την κατάσταση σπαταλά την ίδια ώρα δύο φορές. Μία ερώτηση πακέτου είναι φθηνότερη από ένα ολόκληρο απόγευμα επεξεργασίας αρχείων κλειδιών.

Μετακινήστε το μυστικό στο αρχείο κλειδιού

Το αρχείο σύνδεσης βρίσκεται κάτω από το /etc/NetworkManager/system-connections/. Τα μυστικά δεν φυλάσσονται εκεί από προεπιλογή, και αυτό είναι το νόημα των σημαιών που μόλις διαβάσατε. Η αλλαγή μιας σημαίας σε μηδέν λέει στο NetworkManager ότι η τιμή αποθηκεύεται με το προφίλ αντί να ζητείται κατά την ενεργοποίηση.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Για ένα προφίλ με δύο μυστικά, το μοτίβο επαναλαμβάνεται: μία σημαία ανά μυστικό στην ενότητα [vpn], και οι τιμές στο [vpn-secrets]. Ένα προφίλ IPsec συνήθως φέρει ένα προ-κοινόχρηστο κλειδί μαζί με το διαπιστευτήριο χρήστη, και το πρόσθετο τα ονομάζει διαφορετικά από ένα απλό πεδίο κωδικού, γι' αυτό αντιγράψτε τα ονόματα κλειδιών από την έξοδο του vpn.data και όχι από ένα άρθρο ιστολογίου που χρησιμοποίησε άλλο πρόσθετο. Ένα λάθος όνομα κλειδιού παράγει ένα προφίλ που φορτώνεται και μετά αποτυγχάνει στην ταυτοποίηση, το οποίο διαβάζεται ακριβώς σαν λάθος κωδικός. Συγκρίνετε το αρχείο σας με ένα προφίλ που δουλεύει από το ίδιο πρόσθετο πριν συνδεθείτε ξανά.

Βάλτε σε εισαγωγικά τιμές που περιέχουν κενά, εισαγωγικά ή σύμβολο δολαρίου. Μια τιμή χωρίς εισαγωγικά με ένα $ μέσα θα διαβαστεί κατά γράμμα ή θα επεκταθεί ανάλογα με το πού αναλύεται, και η αποτυχία ταυτοποίησης που προκύπτει μοιάζει με λάθος κωδικό.

Στη συνέχεια διορθώστε την ιδιοκτησία και τη λειτουργία του αρχείου. Αυτά τα αρχεία κλειδιών τα διαβάζει μια προνομιακή υπηρεσία, και ένα αρχείο που μπορούν να διαβάσουν άλλοι χρήστες θεωρείται αναξιόπιστο, που είναι ο συνήθης λόγος που ένα επεξεργασμένο προφίλ φαίνεται να αγνοείται. Ιδιοκτήτης root, λειτουργία 600, χωρίς εξαιρέσεις.

Επαναφορτώστε, μετά ενεργοποιήστε

Το αρχείο διαβάζεται όταν φορτώνεται η σύνδεση, οπότε η επεξεργασία δεν αρκεί. Επαναφορτώστε τα προφίλ και μετά σηκώστε τη σύνδεση ρητά.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Αν η επαναφόρτωση δεν πιάσει την αλλαγή, μια πλήρης επανεκκίνηση της υπηρεσίας το κάνει, και υπάρχουν αναφορές ακριβώς γι' αυτό. Προτιμήστε την επαναφόρτωση όταν άλλες συνδέσεις μετράνε, γιατί η επανεκκίνηση της υπηρεσίας κόβει κάθε διαχειριζόμενη σύνδεση, και σε απομακρυσμένο κεντρικό υπολογιστή αυτό μπορεί να τερματίσει τη συνεδρία σας πριν σηκωθεί η σήραγγα που θέλατε.

Χρησιμοποιήστε το UUID όταν τα ονόματα είναι διφορούμενα. Μηχανήματα με πολλά προφίλ πελατών συσσωρεύουν σχεδόν-διπλότυπα, και η ενεργοποίηση του λάθος παράγει αποτυχία που μοιάζει με πρόβλημα διαπιστευτηρίων.

Όταν το αποθηκευμένο μυστικό δεν είναι το πρόβλημα

Ένα προφίλ FortiSSL μπορεί να αποτύχει ακόμη και με σωστό αποθηκευμένο διαπιστευτήριο επειδή ο πελάτης δεν εμπιστεύεται ποτέ το πιστοποιητικό της πύλης. Αυτή η ρύθμιση δεν είναι στον κύριο διάλογο· βρίσκεται πίσω από τις σύνθετες επιλογές για το VPN, όπου εισάγεται η σύνοψη του έμπιστου πιστοποιητικού. Αν το αρχείο καταγραφής αναφέρει το πιστοποιητικό αντί για τον κωδικό, είστε σε αυτόν τον κλάδο και καμία ποσότητα επεξεργασίας του [vpn-secrets] δεν θα βοηθήσει.

Δύο ακόμη έλεγχοι ανήκουν εδώ. Επιβεβαιώστε ότι το προφίλ δεν εισήχθη από αρχείο που εξακολουθεί να δείχνει σε διαδρομή που το πρόσθετο δεν μπορεί να διαβάσει, και επιβεβαιώστε ότι το προφίλ είναι το ενεργό και όχι ένα παρωχημένο διπλότυπο. Και οι δύο παράγουν αποτυχίες ενεργοποίησης που διαβάζονται σαν σφάλματα ταυτοποίησης.

Αποφασίστε αν η αποθήκευση είναι αποδεκτή

Ένα αποθηκευμένο PSK και ένας κωδικός είναι αναγνώσιμα από οτιδήποτε τρέχει ως root σε εκείνο το μηχάνημα. Σε ένα μηχάνημα που ελέγχετε, είναι μια λογική ανταλλαγή για μια υπηρεσία χωρίς γραφικό περιβάλλον. Σε έναν κοινόχρηστο κεντρικό υπολογιστή, αξίζει μια συζήτηση, γιατί το προφίλ τώρα περιέχει ένα διαπιστευτήριο που προστατευόταν παλιά από το κλειδοθήκη της επιφάνειας εργασίας. Ρωτήστε ποιος άλλος μπορεί να φτάσει στο root σε αυτόν τον υπολογιστή πριν αποφασίσετε, όχι αφού η αλλαγή είναι στη θέση της.

Αν η πολιτική απαγορεύει αποθηκευμένα μυστικά VPN, μην αποδυναμώσετε το προφίλ για να δουλέψει μια εργασία cron. Εκτελέστε τη σύνδεση από μια συνεδρία που έχει πράκτορα, ή χρησιμοποιήστε άλλο μηχανισμό για την αυτοματοποίηση.

Τέλος, καταγράψτε ποια προφίλ φέρουν μυστικά ώστε να μην αντιγράψει κανείς ένα σε φορητό υπολογιστή χωρίς να το προσέξει. Ένα σχόλιο πάνω από την ενότητα μυστικών με την ημερομηνία και τον λόγο αρκεί, και θα γλιτώσει κάποιον από μια άβολη αναθεώρηση αργότερα.