Anna jokaiselle VPN-tilille oma NetworkManager-käynnistin

Kaksi VPN-tiliä, yksi yhdyskäytävä ja työpöytäkuvake, joka yhdistää viimeksi käyttäneen tunnuksella. Tavallinen syy on käynnistin, joka kirjoittaa jaetun profiilin käyttäjänimen uudelleen juuri ennen yhdistämistä, tai sellainen, joka etsii näyttönimeä, joka molemmilla profiileilla sattuu olemaan. NetworkManager erottaa profiilit jo UUID:n perusteella, joten kuvake voi nimetä täsmälleen yhden niistä ja jättää identiteetin rauhaan. Mitä sen ei pitäisi kantaa, on salasana.

Käynnistin on osoitin, ei tunnistetietojen varasto.

Etsi UUID ja vahvista identiteetti

Listaa tallennetut yhteydet ja lue UUID, yhteyden tunnus ja käyttäjänimi, jonka kukin profiili tallentaa. Vahvista, mikä profiili kuuluu millekin tilille ennen kuin luot mitään, sillä näyttönimi on nimike eikä avain. Jos kaksi tiliä tarvitsee eri yhdyskäytävät tai eri profiilit, se on erillinen määritystehtävä.

Käytä UUID:tä käynnistimessä. Näyttönimen haku toimii, kunnes joku nimeää profiilin uudelleen, ja silloin kuvake yhdistää väärällä tilillä tai ei lainkaan.

Kirjoita työpöytätietue

Työpöytätietue tarvitsee tyypin, nimen ja suoritettavan rivin. Komennon pitäisi nostaa tuo UUID ja antaa NetworkManagerin kysyä salaisuus, mihin nmcli --ask connection up uuid ... on tarkoitettu. Pidä Terminal=true, jotta kehote näkyy, kun salaisuutta tarvitaan. Korvaa paikkamerkki UUID:llä, jonka todella havaitsit, äläkä lisää komentotulkin käärettä vain kehotteen piilottaaksesi.

Desktop Entry -määrittely määrittelee Exec:n ohjelmaksi ja sen argumenteiksi. Se ei ole komentotulkin skripti eikä tarvitse sellaista.

Anna agentin pitää salaisuus

Salaisuudet kuuluvat käyttäjäkohtaiselle agentille, avainrenkaalle tai vuorovaikutteiselle kehotteelle. Salasana kohdassa Exec näkyy prosessiluettelossa, työpöytätiedostossa ja missä tahansa ominaisuuksien valintaikkunan kuvakaappauksessa. Jos profiili tarvitsee salaisuuden, anna tuetun kehotteen kerätä se ja agentin muistaa se kyseiselle käyttäjälle.

--ask on suunnitellusti vuorovaikutteinen. Se ei ole resepti valvomattomaan automaatioon eikä takaa, että jokainen todennushaaste tai liitännäinen olisi ylipäätään skriptattavissa.

Älä tartu sudoon

Valtuutus muuttaa tai aktivoida yhteys on NetworkManagerin käytäntönsä kautta myöntämä lupa, ei Unix-etuoikeus. Käynnistimen ajaminen sudo:llä ei anna prosessille toisen käyttäjän avainrengasta eikä korjaa yhdyskäytävän hylkäystä. Jaetulla koneella tarkista, mitkä paikalliset tilit näkevät mitkä profiilit ja kuka omistaa kunkin salaisuuden; erilliset kuvakkeet eivät luo eristystä itsessään.

Kaksi aktiivista profiilia samalle yhdyskäytävälle voivat myös kilpailla reiteistä tai rikkoa samanaikaisuuden sääntöä. Se on käytäntökysymys, ei käynnistimen vika.

Vahvista koko toiminto

Aktivoi käynnistin kerran ja vahvista kolme asiaa: mikä UUID nousi, minkä identiteetin yhdyskäytävä näki ja ilmestyikö salaisuuskehote sinne, missä odotit. Jos yhteys epäonnistuu, säilytä ensimmäinen virheilmoitus. Salasanan lisääminen komentoriville, jotta pikakuvake näyttäisi itsenäiseltä, kätkee tuon virheen ja luo pahemman ongelman.

Kirjoita UUID ja tilien vastaavuus tiimin muistiinpanoihin. Seuraavan profiilia muuttavan on tiedettävä, mikä kuvake on siitä riippuvainen, ja juuri se muistiinpano estää uudelleennimeämisen muuttumisen katkokseksi.