nmcli etengabe eskatzen du VPN pasahitza: gorde sekretua lokalean

Profil bera, bi saio: mahaigainetik konektatzen da eta SSH bidez zintzilik geratzen da ezerk erantzun ezin duen eskaera batean. Ezer ez da hautsi eta ez da inongo ezarpenik galdu. NetworkManager-ek sekretu-agente bati eskatzen dio kredentziala, eta sekretu-agentea mahaigaineko osagaia da, erabiltzen ari zaren saioan existitzen ez dena.

Exekutatu beheko sekuentzia eta tunela interfazerik gabe altxatuko da, sekretu bat gordetzeak profil hori nork erabil dezakeen aldatzen duela jakinda.

Egiaztatu diagnostikoa ezer aldatu aurretik

Aktibazio interaktiboaren eta ez-interaktiboaren arteko aldea diagnostiko osoa da. nmcli --ask connection up arrakastatsua bada aktibazio arrunta blokeatzen den bitartean, profila zuzena da eta sekretuaren iturria falta da. Konparazio bakar horrek funtzionatzen duen konfigurazioa berridaztetik salbatzen zaitu.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Irakurri banderak asmatu beharrean. "Agente bati galdetu" esan nahi duten balioak dira bilatzen ari zarena, eta gako-izen zehatzak desberdinak dira VPN pluginaren arabera, pluginaren datu-hiztegian bizi direlako. FortiSSL profil batek eta IPsec profil batek ez dute nahitaez izen berberak erabiltzen, beraz abiatu zure profilaren irteeratik.

Egiaztatu, halaber, protokolo horretako plugin paketea instalatuta dagoela. Falta den plugin bat konexio-mota ezezagun gisa edo pasahitzei buruz ezer esaten ez duen aktibazio-errore gisa agertzen da, eta egoera horretan sekretuaren atzetik ibiltzeak ordu bera bitan galtzen du. Pakete-kontsulta bat arratsalde oso bat gako-fitxategiak editatzen baino merkeagoa da.

Eraman sekretua gako-fitxategira

Konexio-fitxategia /etc/NetworkManager/system-connections/ azpian dago. Sekretuak ez dira han gordetzen modu lehenetsian, eta hori da orain irakurri dituzun banderen zentzua. Banderetako bat zerora aldatzeak NetworkManager-i esaten dio balioa profilekin batera gordeta dagoela, aktibazioan eskatu beharrean.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Bi sekretu dituen profil batean, eredua errepikatu egiten da: bandera bat sekretu bakoitzeko [vpn] atalean, eta balioak [vpn-secrets] atalean. IPsec profil batek normalean aldez aurretik partekatutako gako bat eramaten du erabiltzailearen kredentzialarekin batera, eta pluginak beste izen batzuk ematen dizkie pasahitz-eremu arrunt bati, beraz kopiatu gako-izenak vpn.data irteeratik, beste plugin bat erabili zuen blogeko artikulu batetik beharrean. Gako-izen bakarra oker egoteak kargatzen den eta gero autentifikazioan huts egiten duen profila sortzen du, eta hori gaizki idatzitako pasahitz baten berdin irakurtzen da. Konparatu zure fitxategia plugin beraren lanean ari den profil batekin berriro konektatu aurretik.

Jarri komatxo artean zuriuneak, komatxoak edo dolar-ikurra dituzten balioak. Komatxo gabe $ duen balio bat hitzez hitz irakurriko da edo zabalduko da, non analizatzen den arabera, eta ondoriozko autentifikazio-hutsegitea pasahitz oker baten antza du.

Ondoren zuzendu fitxategiaren jabetza eta modua. Gako-fitxategi hauek zerbitzu pribilegiatu batek irakurtzen ditu, eta beste erabiltzaileek irakur dezaketen fitxategia fidagarritasunik gabekotzat hartzen da; hori da editatutako profila alde batera utzita dagoela ematen duen arrazoi ohikoa. Jabea root, modua 600, salbuespenik ez.

Birkargatu, gero aktibatu

Fitxategia konexioa kargatzen denean irakurtzen da, beraz ez da nahikoa editatzea. Birkargatu profilak eta gero altxatu konexioa espresuki.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Birkargaketak aldaketa jasotzen ez badu, zerbitzuaren berrabiarazte osoak egiten du, eta horren berri ematen duten txostenak daude. Hobetsi birkarga beste esteka batzuk garrantzitsuak direnean, zerbitzua berrabiarazteak kudeatutako konexio guztiak eteten baititu, eta urrutiko ostalari batean horrek zure saioa amaitu dezake nahi zuen tunela altxatu aurretik.

Erabili UUIDa izenak anbiguoak direnean. Bezero-profil bat baino gehiago dituzten makinak ia-bikoizkiak pilatzen dira, eta okerra aktibatzeak kredentzialen arazoa dirudien hutsegitea sortzen du.

Gordetako sekretua arazoa ez denean

FortiSSL profil batek huts egin dezake gordetako kredentzial zuzena izan arren, bezeroak inoiz ez baitio atebidearen ziurtagiria fidatzen. Ezarpen hori ez dago elkarrizketa nagusian; VPNaren aukera aurreratuen atzean dago, ziurtagiri fidagarriaren laburpena sartzen den lekuan. Erregistroak pasahitza beharrean ziurtagiria aipatzen badu, adar honetan zaude eta [vpn-secrets] editatzeak ez du ezertan lagunduko.

Hemen beste bi egiaztapen sartzen dira. Egiaztatu profila pluginek irakur ezin duen bide bat oraindik seinalatzen duen fitxategi batetik inportatu ez dela, eta egiaztatu profila aktiboa dela, eta ez kopia zaharkitu bat. Biek autentifikazio-errore gisa irakurtzen diren aktibazio-hutsegiteak sortzen dituzte.

Erabaki gordetzea onargarria den

Gordetako PSK bat eta pasahitz bat makin horretan root gisa exekutatzen den edozeinek irakur ditzake. Kontrolatzen duzun makina batean, truke arrazoizkoa da interfazerik gabeko zerbitzu baten truke. Partekatutako ostalari batean, elkarrizketa bat merezi du, profilean orain lehen mahaigaineko giltza-tokiak babesten zuen kredentzial bat dagoelako. Galdetu beste nork irits daitekeen root-era ostalari horretan erabakia hartu aurretik, aldaketa indarrean egon ondoren ez.

Politikak VPN sekretuak gordetzea debekatzen badu, ez ahuldu profila cron zeregin bat funtziona dezan. Exekutatu konexioa agentea duen saio batetik, edo erabili beste mekanismo bat automatizaziorako.

Azkenik, idatzi zein profilek daramaten sekretua, inork ohartu gabe eramangarri batera bat kopiatu ez dezan. Sekretuen atalaren gainean data eta arrazoia dituen iruzkin bat nahikoa da, eta norbaiti geroago berrikuspen deseroso bat aurreztuko dio.