Απομακρυσμένος επεξεργαστής VPN μέσω SSH: ποιο μηχάνημα επεξεργάζεστε;

Η προώθηση X11 βάζει το παράθυρο του επεξεργαστή στον φορητό σας, ενώ η διεργασία συνεχίζει να εκτελείται στον απομακρυσμένο κεντρικό υπολογιστή. Αυτό το χάσμα είναι όλη η παγίδα: βλέπετε ένα τοπικό παράθυρο και επεξεργάζεστε ένα απομακρυσμένο προφίλ, και μια λανθασμένη υπόθεση για το ποιο μηχάνημα κατέχει την αλλαγή μπορεί να κόψει τη σύνδεση SSH μέσω της οποίας εργάζεστε. Η λίστα ελέγχου παρακάτω καθορίζει τον κεντρικό υπολογιστή και το προφίλ πριν αποθηκευτεί οτιδήποτε. Κάθε βήμα έχει συνθήκη διακοπής, οπότε μια πρώιμη αποτυχία είναι φθηνή.

Βήμα 1: ονομάστε το μηχάνημα που κατέχει το προφίλ

Εκτελέστε τις εντολές ταυτότητας στο κέλυφος που πρόκειται να ρυθμίσετε και διαβάστε την απάντηση αντί να την υποθέσετε από το μήνυμα. Ένα όνομα κεντρικού υπολογιστή στο μήνυμα είναι μια συμβολοσειρά που τύπωσε το κέλυφός σας· το όνομα του πυρήνα είναι αυτό που εμπιστεύεται το υπόλοιπο της λίστας. Αν τα δύο διαφωνούν, είστε σε λάθος μηχάνημα ή το μήνυμα είναι διακοσμημένο από το τοπικό σας κέλυφος. Σταματήστε και επανασυνδεθείτε στον επιδιωκόμενο κεντρικό υπολογιστή πριν συνεχίσετε.

hostnamectl
hostname -f
ip -brief address

Το επόμενο ερώτημα είναι αν αυτό το μηχάνημα πρέπει να φιλοξενεί καθόλου το VPN. Η ρύθμιση του πελάτη του φορητού και η ρύθμιση του πελάτη του απομακρυσμένου κεντρικού υπολογιστή παράγουν διαφορετικές διαδρομές, διαφορετικό DNS και διαφορετικούς τρόπους αποτυχίας. Αποφασίστε ποιο εννοείτε πριν αγγίξετε ένα προφίλ και γράψτε την απόφαση εκεί όπου θα τη βρει το επόμενο άτομο.

Βήμα 2: διαβάστε το προφίλ με UUID, όχι με ετικέτα

Το NetworkManager αναγνωρίζει μια σύνδεση με UUID, ενώ το όνομα είναι μια ετικέτα που μπορεί οποιοσδήποτε να επεξεργαστεί ή να αντιγράψει. Καταγράψτε και τα δύο και αντιστοιχίστε την εγγραφή που πραγματικά εννοείτε, ειδικά σε έναν κεντρικό υπολογιστή όπου έχουν εισαχθεί πολλά προφίλ VPN με τα χρόνια.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Οι αποθηκευμένες εγγραφές και οι ενεργές συνδέσεις απαντούν σε διαφορετικά ερωτήματα: η πρώτη απαριθμεί τι υπάρχει, η δεύτερη απαριθμεί τι μεταφέρει κίνηση τώρα. Η γραμμή αδειών περιγράφει την τοπική πολιτική για τη συνεδρία σας και δεν λέει τίποτα για το αν η πύλη VPN θα δεχτεί τον λογαριασμό. Αν το προφίλ που χρειάζεστε δεν είναι στη λίστα, σταματήστε εδώ, γιατί η επεξεργασία λάθος εγγραφής είναι χειρότερη από καθόλου επεξεργασία.

Μόλις έχετε το UUID, βάλτε το σε μεταβλητή και χρησιμοποιήστε αυτή τη μεταβλητή σε κάθε επόμενη εντολή. Αυτό αφαιρεί μια κατηγορία λαθών αντιγραφής και επικόλλησης και κάνει το καταγεγραμμένο κείμενο αναπαραγώγιμο.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Βήμα 3: αποφασίστε αν ο γραφικός επεξεργαστής είναι το σωστό εργαλείο

Ένας επεξεργαστής που χρειάζεται ένα αίτημα polkit ή έναν πράκτορα μυστικών δεν θα το πάρει μόνο επειδή το παράθυρό του εμφανίζεται στον φορητό σας. Αυτά τα στοιχεία εκτελούνται στο περιβάλλον της απομακρυσμένης συνεδρίας και η προώθηση οθόνης δεν τα προωθεί. Αν ο επεξεργαστής αποτύχει να αποθηκεύσει με σφάλμα εξουσιοδότησης ή μυστικού, η οθόνη δεν είναι το πρόβλημα.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

Το OpenSSH ενεργοποιεί την προώθηση X11 με -X και τεκμηριώνει την προσοχή που τη συνοδεύει: ο απομακρυσμένος κεντρικός υπολογιστής μπορεί να φτάσει στην τοπική σας οθόνη, κάτι που είναι πραγματικό όριο εμπιστοσύνης. Η έμπιστη προώθηση με -Y αφαιρεί μερικούς από αυτούς τους ελέγχους και δεν πρέπει ποτέ να είναι η αντανακλαστική λύση για μια εφαρμογή που αποτυγχάνει με τις προεπιλογές. Αν ο οργανισμός σας δημοσιεύει μέθοδο απομακρυσμένης διαχείρισης, χρησιμοποιήστε αυτήν αντί να εφεύρετε παραλλαγή. Στις περισσότερες περιπτώσεις ο επεξεργαστής γραμμής εντολών είναι η μικρότερη επιφάνεια και η καλύτερη απάντηση.

Σταματήστε εδώ αν η μόνη διαδρομή που λειτουργεί απαιτεί -Y και δεν μπορείτε να εξηγήσετε γιατί. Αυτό είναι απόφαση για όποιον κατέχει την πολιτική ασφαλείας, όχι ένα τέχνασμα για προσωπικό σενάριο.

Βήμα 4: κρατήστε μια διαδρομή ανάκτησης πριν ενεργοποιήσετε οτιδήποτε

Μια αλλαγή VPN μπορεί να αφαιρέσει τη διαδρομή από την οποία εξαρτάται η συνεδρία SSH, γι' αυτό κανονίστε έναν τρόπο επιστροφής πριν ενεργοποιήσετε το προφίλ. Η πρόσβαση κονσόλας, μια διεύθυνση εκτός ζώνης ή μια προγραμματισμένη επαναφορά μετρούν όλες· η ελπίδα ότι η αλλαγή θα δουλέψει δεν μετρά.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Ενεργοποιήστε μόνο το επιδιωκόμενο προφίλ και μετά επαληθεύστε από τον απομακρυσμένο κεντρικό υπολογιστή: την προεπιλεγμένη διαδρομή, τη διαδρομή επιστροφής SSH και έναν πόρο που θα πρέπει να είναι προσβάσιμος μέσω της σήραγγας. Ένας επιτυχημένος έλεγχος από τον φορητό σας δοκιμάζει τη διαδρομή του φορητού και δεν λέει τίποτα για τον απομακρυσμένο κεντρικό υπολογιστή. Αν η συνεδρία πέσει, χρησιμοποιήστε τη διαδρομή ανάκτησης αντί να επανασυνδεθείτε στα τυφλά. Η αποθήκευση προφίλ δεν είναι ενεργοποίηση και η ενεργοποίηση δεν είναι επαλήθευση.

Καταγράψτε το UUID, τις τιμές ιδιοτήτων που αλλάξατε και τις εντολές με τις οποίες τις επαληθεύσατε. Το επόμενο άτομο που θα αγγίξει αυτόν τον κεντρικό υπολογιστή θα χρειαστεί και τα τρία, και ένα καταγεγραμμένο κείμενο αξίζει περισσότερο από μια σύνοψη που λέει ότι το VPN διορθώθηκε. Μια λίστα ελέγχου που τελειώνει χωρίς σημείωση επαναφοράς είναι μισή λίστα.