nmcli küsib ikka ja jälle VPN-i parooli: salvestage saladus kohapeal

Sama profiil, kaks sessiooni: töölaualt ühendub see ära ja SSH kaudu jääb rippuma küsimuse juures, millele miski ei saa vastata. Miski ei ole katki ja ükski säte ei ole kadunud. NetworkManager küsib mandaati salajase agendi käest, ja salajane agent on töölaua komponent, mida teie kasutatavas sessioonis ei ole.

Käivitage allolev jada ja tunnel tõuseb ilma graafilise liideseta, tingimusel et saladuse salvestamine muudab seda, kes seda profiili kasutada saab.

Kinnitage diagnoos enne, kui midagi muudate

Interaktiivse ja mitteinteraktiivse aktiveerimise erinevus ongi kogu diagnoos. Kui nmcli --ask connection up õnnestub, samal ajal kui tavaline aktiveerimine takerdub, on profiil korras ja saladuse allikas puudub. See üks võrdlus säästab teid töötava konfiguratsiooni ümberkirjutamisest.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Lugege lippe, mitte ärge oletage neid. Väärtused, mis tähendavad "küsi agendi käest", on see, mida otsite, ja täpsed võtmenimed erinevad VPN-i pistikprogrammide vahel, sest need elavad pistikprogrammi enda andmesõnastikus. FortiSSL-profiil ja IPsec-profiil ei kasuta tingimata samu nimesid, seega lähtuge oma profiili väljundist.

Kinnitage ka, et selle protokolli pistikprogrammi pakett on paigaldatud. Puuduv pistikprogramm ilmneb tundmatu ühendusetüübina või aktiveerimisveana, mis ei ütle paroolide kohta midagi, ja saladuse tagaajamine selles olekus raiskab sama tunni kaks korda. Üks paketipäring on odavam kui terve pärastlõuna võtmefailide muutmist.

Liigutage saladus võtmefaili

Ühendusfail asub kohas /etc/NetworkManager/system-connections/. Saladusi ei hoita seal vaikimisi, ja see ongi äsja loetud lippude mõte. Lipu nulliks muutmine ütleb NetworkManagerile, et väärtus on salvestatud koos profiiliga, mitte ei küsita seda aktiveerimise ajal.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Kahe saladusega profiili puhul kordub muster: üks lipp saladuse kohta jaotises [vpn] ja väärtused jaotises [vpn-secrets]. IPsec-profiil kannab tavaliselt kasutaja mandaadi kõrval eelnevalt jagatud võtit ja pistikprogramm nimetab neid teisiti kui tavalist paroolivälja, seega kopeerige võtmenimed vpn.data väljundist, mitte blogipostitusest, mis kasutas teist pistikprogrammi. Üks vale võtmenimi loob profiili, mis laaditakse ja seejärel autentimisel ebaõnnestub, mis loeb täpselt nagu vale parool. Võrrelge oma faili sama pistikprogrammi töötava profiiliga enne, kui uuesti ühendute.

Pange jutumärkidesse väärtused, mis sisaldavad tühikuid, jutumärke või dollarimärki. Jutumärkideta väärtus, milles on $, loetakse sõna-sõnalt või laiendatakse sõltuvalt sellest, kus seda parsitakse, ja sellest tulenev autentimistõrge näeb välja nagu vale parool.

Seejärel parandage faili omanik ja režiim. Neid võtmefaile loeb privileegiga teenus ja faili, mida teised kasutajad lugeda saavad, peetakse ebausaldusväärseks, mis on tavaline põhjus, miks muudetud profiil näib olevat eiratud. Omanik root, režiim 600, erandeid ei ole.

Laadige uuesti, seejärel aktiveerige

Faili loetakse ühenduse laadimisel, seega ei piisa selle muutmisest. Laadige profiilid uuesti ja seejärel tõstke ühendus selgesõnaliselt üles.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Kui uuestilaadimine muudatust ei haara, teeb seda teenuse täielik taaskäivitamine, ja selle kohta on täpselt selliseid aruandeid. Eelistage uuestilaadimist, kui muud lingid loevad, sest teenuse taaskäivitamine katkestab iga hallatava ühenduse ja kaugmasinas võib see teie sessiooni lõpetada enne, kui soovitud tunnel tõuseb.

Kasutage UUID-d, kui nimed on mitmetähenduslikud. Mitme kliendiprofiiliga masinad koguvad peaaegu-duplikaate ja vale profiili aktiveerimine tekitab tõrke, mis näeb välja nagu mandaadi probleem.

Kui salvestatud saladus ei ole probleem

FortiSSL-profiil võib ebaõnnestuda ka õige salvestatud mandaadiga, sest klient ei usalda kunagi lüüsi sertifikaati. See säte ei ole peamises dialoogis; see asub VPN-i täpsemate valikute taga, kuhu sisestatakse usaldusväärse sertifikaadi räsi. Kui logi mainib sertifikaati, mitte parooli, olete selles harus ja mingi kogus [vpn-secrets] muutmist ei aita.

Siia kuuluvad veel kaks kontrolli. Kinnitage, et profiili ei imporditud failist, mis osutab endiselt teele, mida pistikprogramm lugeda ei saa, ja kinnitage, et profiil on aktiivne, mitte vananenud duplikaat. Mõlemad tekitavad aktiveerimistõrkeid, mis loevad nagu autentimisvead.

Otsustage, kas salvestamine on vastuvõetav

Salvestatud PSK ja parool on loetavad kõige poolt, mis töötab sellel masinal rootina. Masinas, mida te kontrollite, on see mõistlik vahetus graafilise liideseta teenuse eest. Jagatud hostis väärib see vestlust, sest profiil sisaldab nüüd mandaati, mida varem kaitses töölaua võtmehoidla. Küsige, kes veel pääseb sellel hostil rootini, enne kui otsustate, mitte pärast seda, kui muudatus on tehtud.

Kui poliitika keelab VPN-i saladuste salvestamise, ärge nõrgestage profiili, et cron-töö toimiks. Käivitage ühendus sessioonist, kus on agent, või kasutage automatiseerimiseks teist mehhanismi.

Lõpuks kirjutage üles, millised profiilid kannavad saladusi, et keegi ei kopeeriks ühte sülearvutisse märkamatult. Kommentaar saladuste jaotise kohal koos kuupäeva ja põhjusega on piisav ning säästab kellelegi hiljem piinliku ülevaatuse.