Agente de Polkit o agente secreto: qué aviso falta

Lea el texto del diálogo antes de tocar cualquier configuración. Un aviso pide autoridad para cambiar la red de la máquina; el otro pide el secreto que necesita una conexión. Vienen de componentes distintos, fallan por motivos distintos, y arreglar uno nunca arregla el otro. El mensaje nombra con cuál de los dos tiene que ver.

Empiece por ese nombre y no por la VPN, que solo es el motivo por el que se solicitó la operación.

¿Qué aviso le falta en realidad?

Un aviso de autorización local significa que el escritorio pregunta si este usuario puede realizar una operación privilegiada. Un aviso de secreto significa que el almacén de conexiones necesita una contraseña, una frase de clave o un testigo antes de que se pueda construir el túnel. El primero lo responde un agente de autenticación de su sesión; el segundo, un agente secreto al que puede llegar el servicio de gestión de red. Si el mensaje dice que no se encontró ningún agente de autenticación, todavía no se ha pedido ninguna contraseña de VPN.

Ese orden importa cuando informa del problema. El contexto de lanzamiento, la operación local solicitada, el resultado de la autorización y cualquier error de conexión posterior son cuatro hechos separados, y unirlos produce un informe sobre el que nadie puede actuar.

El agente de Polkit vive en su sesión

Polkit mantiene una operación privilegiada del sistema separada del programa ordinario que la pide, y un agente en la sesión del usuario presenta esa interacción. Un escritorio ligero, un lanzador iniciado desde un terminal desnudo o una sesión que ha perdido su agente pueden dejar esa interacción no disponible. Compruebe cómo se inició la aplicación antes de suponer que la política es incorrecta. Una sesión solo de texto necesita su propio agente compatible, no uno gráfico prestado de otro inicio de sesión.

Copiar direcciones del bus de sesión o variables de pantalla del entorno de otro usuario no es un plan de autorización. Produce una sesión que parece conectada y que aún no puede responder correctamente al aviso.

El agente secreto suministra otra cosa

El servicio de gestión de red pide a un agente secreto credenciales que no almacena, y el agente muestra esa petición al usuario. Un cliente de línea de órdenes con su propio aviso interactivo es uno de esos agentes; el escritorio suele proporcionar otro. Poner un secreto a disposición no otorga autoridad para modificar la red del sistema, y reparar la autorización local no crea una credencial que falta. Un flujo de trabajo puede necesitar ambas respuestas, y siempre en ese orden.

Si el aviso del secreto nunca aparece, mire a qué agente puede llegar el servicio y no la política de polkit.

Repare la sesión, no el nivel de privilegio

Use el agente compatible del escritorio y la integración de arranque en lugar de ejecutar toda la interfaz de la VPN como root. Conceder a todos los usuarios administración de red incondicional, o desactivar el servicio de autorización, cambia un aviso que falta por un agujero permanente. En equipos gestionados, el administrador puede exigir deliberadamente un operador aprobado, y la solución correcta es trabajar dentro de esa decisión. Consulte la vista de permisos admitidos para ver qué puede solicitar el usuario actual.

No incorpore la respuesta local al resultado de autenticación de la puerta de enlace; son dos sucesos. Un aviso interactivo de secreto en un terminal tampoco exime a nadie de la política de autorización, por cómodo que parezca.

Registre qué agente respondió, en qué sesión, y qué ocurrió después.