OpenVPNek systemd-ren pasahitz eskaera baten zain dago: erantzun behar diozu?

Terminalean systemd-tty-ask-password-agent-ri buruzko mezu bat agertzen da, eta tunela ez dago altxatuta. Irakurketa tentagarria da VPNak pasahitz bat baztertu duela eta zerbait orain zuzenketa baten zain dagoela. Zehatzagoa da esatea zerbitzu batek systemd-ri entrada interaktiboa eskatu diola, eta eskaerak oraindik erantzunik ez duela. Zein zerbitzuk eskatu zuen eta zein sekretu nahi duen bi galdera dira, ezer idatzi aurretik konpon ditzakezunak.

Bi baldintzak erabakitzen dute nork erantzun behar duen

Lehen baldintza da instantzia hau nahita hasi ote zenuen. Zuk egindako ekintza baten ondoren datorren eskaera zurea da erantzuteko, eta ekintza egokirik gabe agertzen dena beste zerbaiti dagokio. Bigarrena da sekretua kontuaren autentifikazioa edo gakoaren babesa den, horiek leku ezberdinetan bizi baitira eta kode bide ezberdinetatik bidaiatzen baitute. Bi erantzunak erregistroan ikus daitezke jardun aurretik begiratzen baduzu.

Bi erantzunak argiak direnean, erabakia erraza da: erantzun zerbitzuaren beraren eskaera-bide onartuaren bidez. Bata edo bestea argia ez denean, mugimendu zuzena ikertzea da, atributu ezin diozun eskaera batean pasahitza idatzi beharrean.

Hori da arau osoa, eta komandoen aurretik esatea merezi du. Beheko guztia hortik dator.

Zerrendatu eskaera ezer idatzi aurretik

Agenteak zeren zain dagoen zenba dezake, ezer erantzun gabe. sudo systemd-tty-ask-password-agent --list-ek zain dauden eskaerak inprimatzen ditu, eta irteera hori da eskaera bat unitate batekin lotzeko behar duzun froga. Irakurri ezazu kredentzial bat eman aurretik, eta eduki eskaeren deskribapenak edozein diagnostika itsaste publikoetatik kanpo.

Lotu zerrenda hasitako eragiketarekin eta hura edukitzen duen unitatearekin. Zerrendan ezer zure ekintzarekin bat ez badator, ikusi duzun eskaera beste zerbitzu batena da eta ez da zurea konpontzeko. Zerrendako unitatearen izena da eskaeraren eta zerbitzuaren arteko lotura fidagarri bakarra.

Ez erantzun atributu ezin diozun eskaera bati. Itxarotearen kostua atzerapena da, eta eskaera okerra erantzutearen kostua leku okerrean dagoen kredentziala da.

Zein sekretu behar du instantziak benetan?

auth-user-pass-ek VPN zerbitzuarekiko kontuaren autentifikazioari egiten dio erreferentzia, eta kredentzial fitxategirik gabe dokumentatutako portaera kontsolaren bidez galdetzea da. askpass-ek, aldiz, babestutako gako materiala desblokeatzen duen pasaesaldia lortzen du, eta prozesua bigarren planora pasa aurretik egiten du. Bizitza ezberdineko sekretu ezberdinak dira.

Fitxategi formatuek ere ezberdinak dira. Kontuaren formak erabiltzaile-izen lerro bat eta pasahitz lerro bat espero ditu, gakoaren pasaesaldi fitxategiak berriz lehen lerroa irakurtzen du bere pasahitz gisa. Beste rolaren kredentzial fitxategiaren errezeta kopiatzeak normalean beste eskaera bat sortzen du, irtenbide bat beharrean. Forma okerreko fitxategia fitxategirik ez baino okerragoa da, hutsegitea inork zaintzen ez duen toki batera mugitzen baita.

Egiaztatu instantziak zein direktiba erabiltzen duen, zer idatziko duzun erabaki aurretik. Direktibaren izenak esaten dizu zertarako sekretu den eskaera.

--query-k egiten duena eta --list-ek egiten ez duena

--query-k deitzen duen terminaleko zain dauden eskaera guztiak prozesatzen ditu, eta hori eskaera bat erantzutea baino askoz ekintza zabalagoa da. Ez da OpenVPN hautatzailea, eta makineria lanpetu batean beste unitate batzuen eskaerei erantzun diezaieke. Zaintza moduak are zabalagoa da, eskaerak iristen diren heinean prozesatzen jarraitzen baitu.

Erabili funtzionatzen duen mekanismorik estuena. Zerbitzu bakar baterako, zerbitzu horren eskaera-fluxua agente globala baino estuagoa da, eta erantzuna galdetu zuen unitateari lotuta mantentzen du.

Behin-behineko eskaera bat agente global zaintzarik gabeko bihurtzea, abisu bat behin agertu delako, horrela bihurtzen da eragozpen iragankorra diseinu iraunkor. Kontuz berbera dagokio host osoan pasahitz jakinarazpen unitateak desgaitzeari.

Erabaki, eta gero erregistratu hautua

Zaintzarik gabeko inplementazio baterako, adostu kredentzialen iturburua, fitxategi-baimenak eta berritze egutegia konexioaren jabearekin. Bigarren faktore interaktiboak pertsona bat edo zerbitzu nortasun dedikatu bat behar dezake. Eskaera isiltzeak ez du autentifikazio hori sortzen, eta auth-user-pass kentzeak hura behar duen zerbitzua baino ez du hausten.

Elkarreraginaren ondoren, begiratu instantzia bera bere hurrengo gertaerarako eta probatu baliabide pribatua. Ezer ez badago zain, itzuli instantziaren egoerara, hosteko OpenVPN unitate guztiak abiarazi beharrean.