Kaug-VPN-i redaktor SSH kaudu: millist masinat te redigeerite?

X11 edastamine paneb redaktori akna teie sülearvutisse, samal ajal kui protsess jätkab tööd kaugkõrgendis. See vahe on kogu lõks: te vaatate kohalikku akent ja redigeerite kaugprofiili ning vale oletus selle kohta, millisele masinale muudatus kuulub, võib lõigata läbi SSH-ühenduse, mille kaudu te töötate. Allolev kontroll-loend fikseerib hosti ja profiili enne, kui midagi salvestatakse. Igal sammul on peatumistingimus, nii et varajane ebaõnnestumine on odav.

Samm 1: nimetage masin, kellele profiil kuulub

Käivitage identiteedikäsud shellis, mida kavatsete seadistada, ja lugege vastust, selle asemel et seda viibast oletada. Viibas olev hostinimi on string, mille teie shell trükkis; kerneli hostinimi on see, mida ülejäänud loend usaldab. Kui need kaks erinevad, olete valel masinal või on viipa kaunistanud teie kohalik shell. Peatuge ja ühenduge enne jätkamist uuesti kavandatud hostiga.

hostnamectl
hostname -f
ip -brief address

Järgmine küsimus on, kas see masin peaks üldse VPN-i hoidma. Sülearvuti kliendi seadistamine ja kaugkõrgendi kliendi seadistamine annavad erinevad marsruudid, erineva DNS-i ja erinevad rikkerežiimid. Otsustage, millist te mõtlete, enne kui profiili puudutate, ja kirjutage otsus sinna, kust järgmine inimene selle leiab.

Samm 2: lugege profiili UUID järgi, mitte sildi järgi

NetworkManager tuvastab ühenduse UUID järgi, samas kui nimi on silt, mida igaüks võib redigeerida või dubleerida. Loetlege mõlemad ja sobitage just see kirje, mida tegelikult mõtlete, eriti hostis, kuhu on aastate jooksul imporditud mitu VPN-profiili.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Salvestatud kirjed ja aktiivsed ühendused vastavad erinevatele küsimustele: esimene loetleb, mis on olemas, teine loetleb, mis praegu liiklust kannab. Lubade rida kirjeldab teie sessiooni kohalikku poliitikat ega ütle midagi selle kohta, kas VPN-i värav võtab konto vastu. Kui vajalik profiil pole salvestatud loendis, peatuge siin, sest vale kirje redigeerimine on hullem kui üldse mitte redigeerida.

Kui UUID on käes, pange see muutujasse ja kasutage seda muutujat igas järgmises käsus. See kõrvaldab terve klassi kopeeri-kleebi vigu ja muudab transkripti korratavaks.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Samm 3: otsustage, kas graafiline redaktor on õige tööriist

Redaktor, mis vajab polkit-küsimust või saladusagent, ei saa seda ainult sellepärast, et tema aken teie sülearvutis ilmub. Need komponendid töötavad kaugsessiooni kontekstis ja ekraani edastamine ei edasta neid. Kui redaktor ei saa autoriseerimis- või saladusvea tõttu salvestada, pole ekraan probleem.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH lubab X11 edastamist -X abil ja dokumenteerib sellega kaasneva ettevaatuse: kaugkõrgend pääseb teie kohalikule ekraanile, mis on tõeline usalduspiir. Usaldusväärne edastamine -Y abil eemaldab osa neist kontrollidest ja ei tohiks kunagi olla reflekslahendus rakendusele, mis vaikehäälestuses ebaõnnestub. Kui teie organisatsioon avaldab kaugadministreerimise meetodi, kasutage seda, mitte ärge mõelge varianti välja. Enamikul juhtudel on käsurea redaktor väiksem pind ja parem vastus.

Peatuge siin, kui ainus töötav tee nõuab -Y ja te ei oska selgitada, miks. See on otsus sellele, kellele kuulub turvapoliitika, mitte isiklikku skripti jäetav möödasõit.

Samm 4: hoidke taastetee enne, kui midagi aktiveerite

VPN-i muudatus võib eemaldada marsruudi, millest teie SSH-sessioon sõltub, seega korraldage tagasitee enne profiili aktiveerimist. Konsoolipääs, välisvõrgu haldusaadress või ajastatud tagasipööramine kõik loevad; lootus, et muudatus töötab, ei loe.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktiveerige ainult kavandatud profiil ja kontrollige seejärel kaugkõrgendist: vaikemarsruut, SSH tagasitee ja üks ressurss, mis peaks olema tunnelist kättesaadav. Edukas kontroll teie sülearvutist testib sülearvuti teed ega ütle midagi kaugkõrgendi kohta. Kui sessioon katkeb, kasutage taastetee, mitte ärge ühenduge pimesi uuesti. Profiili salvestamine pole aktiveerimine ja aktiveerimine pole kontrollimine.

Kirjutage üles UUID, muudetud omaduste väärtused ja käsud, millega neid kontrollisite. Järgmisel inimesel, kes seda hosti puudutab, läheb vaja kõiki kolme, ja transkript on väärt rohkem kui kokkuvõte, mis ütleb, et VPN on parandatud. Kontroll-loend, mis lõpeb ilma tagasipööramise märkuseta, on pool loendit.