Fora VPN-redaktilo tra SSH: kiun maŝinon vi redaktas?

X11-plusendado metas la fenestron de la redaktilo sur vian tekkomputilon dum la procezo daŭre rulas sur la fora gastiganto. Tiu breĉo estas la tuta kaptilo: vi rigardas lokan fenestron kaj redaktas foran profilon, kaj malĝusta supozo pri tio, kiu maŝino posedas la ŝanĝon, povas tranĉi la SSH-ligon, per kiu vi laboras. La kontrol-listo sube fiksas la gastiganton kaj la profilon antaŭ ol io ajn estas konservata. Ĉiu paŝo havas haltan kondiĉon, do frua malsukceso estas malmultekosta.

Paŝo 1: nomu la maŝinon, kiu posedas la profilon

Rulu la identigajn komandojn en la ŝelo, kiun vi tuj agordos, kaj legu la respondon anstataŭ supozi ĝin el la invito. Gastigantnomo en invito estas ĉeno, kiun via ŝelo presis; la gastigantnomo de la kerno estas tio, kion fidas la resto de ĉi tiu listo. Se la du malkongruas, vi estas sur la malĝusta maŝino aŭ la inviton ornamas via loka ŝelo. Haltu kaj rekonektiĝu al la celata gastiganto antaŭ ol daŭrigi.

hostnamectl
hostname -f
ip -brief address

La sekva demando estas, ĉu ĉi tiu maŝino entute tenu la VPN-on. Agordi la klienton de la tekkomputilo kaj agordi la klienton de la fora gastiganto produktas malsamajn itinerojn, malsaman DNS kaj malsamajn malsukcesajn reĝimojn. Decidu, kiun vi celas, antaŭ ol tuŝi profilon, kaj skribu la decidon tie, kie la sekva persono trovos ĝin.

Paŝo 2: legu la profilon per UUID, ne per etikedo

NetworkManager identigas konekton per UUID, dum la nomo estas etikedo, kiun iu ajn povas redakti aŭ duobligi. Listigu ambaŭ kaj kongruigu la enskribon, kiun vi vere celas, precipe sur gastiganto, kie plurjare estis importitaj pluraj VPN-profiloj.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Konservitaj enskriboj kaj aktivaj konektoj respondas malsamajn demandojn: la unua listigas tion, kio ekzistas, la dua listigas tion, kio nun portas trafikon. La permeslinio priskribas lokan politikon por via sesio kaj diras nenion pri tio, ĉu la VPN-enirejo akceptos la konton. Se la profilo, kiun vi bezonas, ne estas en la konservita listo, haltu ĉi tie, ĉar redakti la malĝustan enskribon estas pli malbone ol tute ne redakti.

Kiam vi havas la UUID-on, metu ĝin en variablon kaj uzu tiun variablon en ĉiu posta komando. Tio forigas tutan klason de kopi-algluaj eraroj kaj igas la transskribon ripetebla.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Paŝo 3: decidu, ĉu grafika redaktilo estas la ĝusta ilo

Redaktilo, kiu bezonas polkit-inviton aŭ sekretan agenton, ne ricevos ĝin nur ĉar ĝia fenestro aperas sur via tekkomputilo. Tiuj komponantoj rulas en la kunteksto de la fora sesio, kaj plusendado de ekrano ne plusendas ilin. Se la redaktilo ne povas konservi pro rajtiga aŭ sekreta eraro, la ekrano ne estas la problemo.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH ebligas X11-plusendadon per -X kaj dokumentas la singardon, kiu akompanas ĝin: la fora gastiganto povas atingi vian lokan ekranon, kio estas reala fido-limo. Fidinda plusendado per -Y forigas kelkajn el tiuj kontroloj kaj neniam devus esti la refleksa solvo por aplikaĵo, kiu malsukcesas sub la defaŭlto. Se via organizo publikigas metodon por fora administrado, uzu tiun anstataŭ elpensi varianton. Plej ofte la komandlinia redaktilo estas la pli malgranda surfaco kaj la pli bona respondo.

Haltu ĉi tie, se la sola funkcia vojo postulas -Y kaj vi ne povas klarigi kial. Tio estas decido por tiu, kiu posedas la sekurecan politikon, ne ĉirkaŭiro por teni en persona skripto.

Paŝo 4: tenu restarigan vojon antaŭ ol aktivigi ion ajn

VPN-ŝanĝo povas forigi la itineron, de kiu dependas via SSH-sesio, do aranĝu vojon reen antaŭ ol aktivigi la profilon. Konzola aliro, ekstrabenda administra adreso aŭ planita retroiro ĉiuj validas; espero, ke la ŝanĝo funkcios, ne validas.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktivigu nur la celatan profilon, poste kontrolu de la fora gastiganto: la defaŭltan itineron, la SSH-revenan vojon kaj unu rimedon, kiu devus esti atingebla tra la tunelo. Sukcesa kontrolo de via tekkomputilo testas la vojon de la tekkomputilo kaj diras nenion pri la fora gastiganto. Se la sesio falas, uzu la restarigan vojon anstataŭ rekonekti blinde. Konservi profilon ne estas aktivigo, kaj aktivigo ne estas kontrolo.

Notu la UUID-on, la proprajn valorojn, kiujn vi ŝanĝis, kaj la komandojn, per kiuj vi kontrolis ilin. La sekva persono, kiu tuŝos ĉi tiun gastiganton, bezonos ĉiujn tri, kaj transskribo valoras pli ol resumo diranta, ke la VPN estis riparita. Kontrol-listo, kiu finiĝas sen retroira noto, estas duona listo.