Το OpenVPN περιμένει αίτημα κωδικού του systemd: πρέπει να απαντήσετε;

Εμφανίζεται ένα μήνυμα για το systemd-tty-ask-password-agent στο τερματικό, και η σήραγγα δεν είναι ενεργή. Η δελεαστική ανάγνωση είναι ότι το VPN απέρριψε έναν κωδικό και κάτι τώρα περιμένει διόρθωση. Ακριβέστερο είναι να πούμε ότι μια υπηρεσία ζήτησε από το systemd διαδραστική είσοδο, και ότι το αίτημα δεν έχει απαντηθεί. Ποια υπηρεσία ρώτησε και ποιο μυστικό θέλει είναι δύο ερωτήματα που μπορείτε να λύσετε πριν πληκτρολογήσετε οτιδήποτε.

Δύο συνθήκες καθορίζουν ποιος πρέπει να απαντήσει

Η πρώτη συνθήκη είναι αν ξεκινήσατε αυτή την περίσταση σκόπιμα. Ένα αίτημα που ακολουθεί μια ενέργειά σας είναι δικό σας να απαντηθεί, και ένα που εμφανίζεται χωρίς αντίστοιχη ενέργεια ανήκει σε κάτι άλλο. Η δεύτερη είναι αν το μυστικό είναι έλεγχος ταυτότητας λογαριασμού ή προστασία κλειδιού, γιατί αυτά ζουν σε διαφορετικά σημεία και ταξιδεύουν από διαφορετικές διαδρομές κώδικα. Και οι δύο απαντήσεις φαίνονται στο αρχείο καταγραφής αν κοιτάξετε πριν ενεργήσετε.

Όταν και οι δύο απαντήσεις είναι σαφείς, η απόφαση είναι απλή: απαντήστε μέσα από τη δική του υποστηριζόμενη διαδρομή αιτήματος της υπηρεσίας. Όταν κάποια είναι ασαφής, η σωστή κίνηση είναι η διερεύνηση αντί να πληκτρολογήσετε κωδικό σε ένα αίτημα που δεν μπορείτε να αποδώσετε.

Αυτός είναι ολόκληρος ο κανόνας, και αξίζει να ειπωθεί πριν από τις εντολές. Όλα τα παρακάτω προκύπτουν από αυτόν.

Καταγράψτε το αίτημα πριν πληκτρολογήσετε οτιδήποτε

Ο πράκτορας μπορεί να απαριθμήσει τι εκκρεμεί χωρίς να απαντήσει σε τίποτα. Το sudo systemd-tty-ask-password-agent --list εκτυπώνει τα εκκρεμή αιτήματα, και η έξοδος αυτή είναι η απόδειξη που χρειάζεστε για να συνδέσετε ένα αίτημα με μια μονάδα. Διαβάστε την πριν δώσετε διαπιστευτήριο, και κρατήστε τις περιγραφές αιτημάτων έξω από κάθε δημόσια διαγνωστική επικόλληση.

Συσχετίστε την καταγραφή με τη λειτουργία που ξεκινήσατε και με τη μονάδα που την κατέχει. Αν τίποτα στη λίστα δεν ταιριάζει με την ενέργειά σας, το αίτημα που είδατε ανήκει σε άλλη υπηρεσία και δεν είναι δικό σας να λυθεί. Το όνομα της μονάδας στη λίστα είναι ο μόνος αξιόπιστος σύνδεσμος μεταξύ αιτήματος και υπηρεσίας.

Μην απαντήσετε σε αίτημα που δεν μπορείτε να αποδώσετε. Το κόστος της αναμονής είναι καθυστέρηση, ενώ το κόστος της απάντησης στο λάθος αίτημα είναι διαπιστευτήριο σε λάθος σημείο.

Ποιο μυστικό χρειάζεται πραγματικά η περίσταση;

Το auth-user-pass αφορά τον έλεγχο ταυτότητας λογαριασμού προς την υπηρεσία VPN, και χωρίς αρχείο διαπιστευτηρίων η τεκμηριωμένη συμπεριφορά είναι να ρωτήσει στην κονσόλα. Το askpass αντίθετα αποκτά τη φράση πρόσβασης που ξεκλειδώνει προστατευμένο υλικό κλειδιού, και το κάνει πριν η διεργασία περάσει στο παρασκήνιο. Πρόκειται για διαφορετικά μυστικά με διαφορετική διάρκεια ζωής.

Οι μορφές αρχείων διαφέρουν επίσης. Η μορφή λογαριασμού περιμένει μια γραμμή ονόματος χρήστη και μια γραμμή κωδικού, ενώ το αρχείο φράσης πρόσβασης κλειδιού διαβάζει την πρώτη γραμμή ως κωδικό του. Η αντιγραφή μιας συνταγής αρχείου διαπιστευτηρίων από τον άλλο ρόλο παράγει συνήθως άλλο ένα αίτημα αντί για λύση. Ένα αρχείο με λάθος σχήμα είναι χειρότερο από κανένα αρχείο, γιατί η αποτυχία μετακινείται σε σημείο που κανείς δεν παρακολουθεί.

Ελέγξτε ποια οδηγία χρησιμοποιεί η περίσταση πριν αποφασίσετε τι θα πληκτρολογήσετε. Το όνομα της οδηγίας σας λέει για ποιο μυστικό είναι το αίτημα.

Τι κάνει το --query που δεν κάνει το --list

Το --query επεξεργάζεται κάθε εκκρεμές αίτημα στο τερματικό κλήσης, που είναι πολύ ευρύτερη ενέργεια από την απάντηση σε ένα αίτημα. Δεν είναι επιλογέας του OpenVPN, και σε πολυάσχολο μηχάνημα μπορεί να απαντήσει σε αιτήματα άλλων μονάδων. Η λειτουργία παρακολούθησης είναι ακόμη ευρύτερη, γιατί συνεχίζει να χειρίζεται αιτήματα καθώς φτάνουν.

Χρησιμοποιήστε τον στενότερο μηχανισμό που λειτουργεί. Για μία υπηρεσία, η δική της ροή αιτήματος είναι στενότερη από έναν καθολικό πράκτορα, και κρατά την απάντηση δεμένη με τη μονάδα που ρώτησε.

Το να μετατρέψετε ένα μεμονωμένο αίτημα σε αφύλακτο καθολικό πράκτορα επειδή εμφανίστηκε μια ειδοποίηση μία φορά είναι ο τρόπος με τον οποίο μια προσωρινή ενόχληση γίνεται μόνιμος σχεδιασμός. Η ίδια προσοχή ισχύει για την απενεργοποίηση μονάδων ειδοποίησης κωδικού σε όλο τον κεντρικό υπολογιστή.

Αποφασίστε και μετά καταγράψτε την επιλογή

Για αφύλακτη ανάπτυξη, συμφωνήστε την πηγή διαπιστευτηρίων, τα δικαιώματα αρχείου και το πρόγραμμα ανανέωσης με όποιον κατέχει τη σύνδεση. Ένας διαδραστικός δεύτερος παράγοντας μπορεί να χρειάζεται άτομο ή αποκλειστική ταυτότητα υπηρεσίας. Η καταστολή του αιτήματος δεν παράγει αυτόν τον έλεγχο ταυτότητας, και η αφαίρεση του auth-user-pass χαλάει μόνο μια υπηρεσία που το χρειάζεται.

Μετά την αλληλεπίδραση, κοιτάξτε την ίδια περίσταση για το επόμενο γεγονός της και δοκιμάστε τον ιδιωτικό πόρο. Αν τίποτα δεν εκκρεμεί, επιστρέψτε στην κατάσταση της περίστασης αντί να ξεκινήσετε κάθε μονάδα OpenVPN στον κεντρικό υπολογιστή.