Polkit-agent või salajane agent: milline aken puudub?

Lugege dialoogi teksti enne, kui puudutate ükskõik millist konfiguratsiooni. Üks aken küsib volitust masina võrgu muutmiseks; teine küsib saladust, mida ühendus vajab. Need tulevad erinevatest komponentidest, ebaõnnestuvad erinevatel põhjustel ja ühe parandamine ei paranda kunagi teist. Sõnum nimetab, millisega te tegelete.

Alustage sellest nimest, mitte VPN-ist, mis on ainult põhjus, miks toimingut taotleti.

Milline aken teil tegelikult puudub?

Kohaliku volituse aken tähendab, et töölaud küsib, kas see kasutaja tohib privilegeeritud toimingut teha. Saladuse aken tähendab, et ühenduste hoidla vajab parooli, võtmefraasi või tokenit enne, kui tunnelit saab ehitada. Esimesele vastab autentimisagent teie sessioonis; teisele salajane agent, kelleni võrgu haldamise teenus pääseb. Kui sõnum ütleb, et autentimisagenti ei leitud, siis VPN-i parooli pole veel küsitud.

See järjekord on oluline, kui te probleemist teatate. Käivituskontekst, taotletud kohalik toiming, volituse tulemus ja mis tahes hilisem ühenduse viga on neli eraldi fakti ning nende kokku sulandamine annab aruande, millega keegi midagi teha ei saa.

Polkit-agent elab teie sessioonis

Polkit hoiab privilegeeritud süsteemitoimingu eraldi tavalisest programmist, mis seda küsib, ja agent kasutaja sessioonis esitab selle suhtluse. Kerge töölaud, paljast terminalist käivitatud käivitaja või sessioon, mis on oma agendi kaotanud, võivad selle suhtluse kättesaamatuks jätta. Kontrollige, kuidas rakendus käivitati, enne kui eeldate, et poliitika on vale. Ainult tekstiga sessioon vajab oma toetatud agenti, mitte teisest sisselogimisest laenatud graafilist agenti.

Sessioonisiini aadresside või kuva muutujate kopeerimine teise kasutaja keskkonnast ei ole volituse plaan. See loob sessiooni, mis näib ühendatud ja ei suuda ikkagi aknale õigesti vastata.

Salajane agent annab midagi muud

Võrgu haldamise teenus küsib salajaselt agendilt volitusi, mida see ise ei salvesta, ja agent näitab seda taotlust kasutajale. Käsurea klient oma interaktiivse aknaga on üks selline agent; töölaua kest pakub tavaliselt teise. Saladuse kättesaadavaks tegemine ei anna volitust süsteemivõrku muuta ja kohaliku volituse parandamine ei loo puuduvat volitust. Üks töövoog võib vajada mõlemat vastust ja alati selles järjestuses.

Kui saladuse aken ei ilmu kunagi, vaadake, millise agendini teenus pääseb, mitte polkit-poliitikat.

Parandage sessioon, mitte privileegitase

Kasutage töölaua toetatud agenti ja käivitusintegratsiooni, selle asemel et kogu VPN-i liidest rootina käitada. Iga kasutaja tingimusteta võrguadministraatori õiguste andmine või volitusteenuse väljalülitamine vahetab puuduva akna püsiva augu vastu. Hallataval seadmel võib administraator teadlikult nõuda kinnitatud operaatorit ja õige parandus on tegutseda selle otsuse piires. Vaadake toetatud lubade vaadet, et näha, mida praegune kasutaja taotleda tohib.

Ärge sulandage kohalikku vastust lüüsi autentimistulemusse; need on kaks sündmust. Ka interaktiivne saladuse aken terminalis ei vabasta kedagi volituspoliitikast, kuitahes mugav see ka tundub.

Märkige üles, milline agent vastas, millises sessioonis ja mis juhtus edasi.