nmcli kysyy yhä uudelleen VPN-salasanaa: tallenna salaisuus paikallisesti

Sama profiili, kaksi istuntoa: se yhdistää työpöydältä ja jää SSH:n yli roikkumaan kehotteeseen, johon mikään ei voi vastata. Mikään ei ole rikki eikä yhtään asetusta ole kadonnut. NetworkManager pyytää tunnistetietoa salaisuusagentilta, ja salaisuusagentti on työpöytäkomponentti, jota käyttämässäsi istunnossa ei ole.

Suorita alla oleva sarja, niin tunneli nousee ilman graafista käyttöliittymää, sillä varauksella että salaisuuden tallentaminen muuttaa sitä, kuka voi käyttää kyseistä profiilia.

Vahvista diagnoosi ennen kuin muutat mitään

Interaktiivisen ja ei-interaktiivisen aktivoinnin ero on koko diagnoosi. Jos nmcli --ask connection up onnistuu tavallisen aktivoinnin juuttuessa, profiili on oikein ja salaisuuden lähde puuttuu. Yksi vertailu säästää sinut toimivan kokoonpanon uudelleenkirjoittamiselta.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Lue liput sen sijaan että arvaisit ne. Arvot, jotka tarkoittavat "kysy agentilta", ovat etsimäsi, ja tarkat avainten nimet eroavat VPN-liitännäisten välillä, koska ne elävät liitännäisen omassa tietosanakirjassa. FortiSSL-profiili ja IPsec-profiili eivät välttämättä käytä samoja nimiä, joten työskentele oman profiilisi tulosteesta.

Vahvista myös, että kyseisen protokollan liitännäispaketti on asennettu. Puuttuva liitännäinen näkyy tuntemattomana yhteystyä tai aktivointivirheenä, joka ei kerro salasanoista mitään, ja salaisuuden perässä juokseminen siinä tilassa tuhlaa saman tunnin kahdesti. Yksi pakettikysely on halvempi kuin kokonainen iltapäivä avaintiedostojen muokkaamista.

Siirrä salaisuus avaintiedostoon

Yhteystiedosto sijaitsee hakemistossa /etc/NetworkManager/system-connections/. Salaisuuksia ei säilytetä siellä oletuksena, ja juuri se on äsken lukemiesi lippujen tarkoitus. Lipun muuttaminen nollaksi kertoo NetworkManagerille, että arvo on tallennettu profiilin mukana eikä sitä pyydetä aktivoinnin aikana.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Profiilissa, jossa on kaksi salaisuutta, kuvio toistuu: yksi lippu salaisuutta kohden osiossa [vpn] ja arvot osiossa [vpn-secrets]. IPsec-profiili kantaa tyypillisesti etukäteen jaetun avaimen käyttäjän tunnistetiedon rinnalla, ja liitännäinen nimeää ne eri tavalla kuin tavallisen salasanakentän, joten kopioi avainten nimet vpn.data-tulosteesta äläkä blogikirjoituksesta, joka käytti toista liitännäistä. Yksi väärä avaimen nimi tuottaa profiilin, joka latautuu ja epäonnistuu sitten todennuksessa, mikä näyttää täsmälleen väärältä salasanalta. Vertaa tiedostosi saman liitännäisen toimivaan profiiliin ennen kuin yhdistät uudelleen.

Pane lainausmerkkeihin arvot, joissa on välilyöntejä, lainausmerkkejä tai dollarimerkki. Ilman lainausmerkkejä oleva arvo, jossa on $, luetaan kirjaimellisesti tai laajennetaan sen mukaan, missä se jäsennetään, ja tuloksena oleva todennusvirhe näyttää väärältä salasanalta.

Korjaa sitten tiedoston omistajuus ja tila. Nämä avaintiedostot lukee etuoikeutettu palvelu, ja tiedostoa, jonka muut käyttäjät voivat lukea, pidetään epäluotettavana, mikä on tavallinen syy siihen, että muokattu profiili näyttää jäävän huomiotta. Omistaja root, tila 600, ei poikkeuksia.

Lataa uudelleen ja aktivoi sitten

Tiedosto luetaan, kun yhteys ladataan, joten sen muokkaaminen ei riitä. Lataa profiilit uudelleen ja nosta sitten yhteys eksplisiittisesti.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Jos uudelleenlataus ei nappaa muutosta, palvelun täysi uudelleenkäynnistys tekee sen, ja juuri siitä on raportteja. Suosi uudelleenlatausta, kun muut linkit ovat tärkeitä, sillä palvelun uudelleenkäynnistys katkaisee jokaisen hallitun yhteyden, ja etäisellä isännällä se voi päättää istuntosi ennen kuin haluttu tunneli nousee.

Käytä UUID:tä, kun nimet ovat monitulkintaisia. Koneet, joilla on useita asiakasprofiileja, keräävät lähes kaksoiskappaleita, ja väärän aktivoiminen tuottaa virheen, joka näyttää tunnistetieto-ongelmalta.

Kun tallennettu salaisuus ei ole ongelma

FortiSSL-profiili voi epäonnistua jopa oikealla tallennetulla tunnistetiedolla, koska asiakasohjelma ei koskaan luota yhdyskäytävän varmenteeseen. Tämä asetus ei ole päävalintaikkunassa; se on VPN:n lisäasetusten takana, jossa luotetun varmenteen tiiviste syötetään. Jos loki mainitsee varmenteen salasanan sijaan, olet tässä haarassa eikä [vpn-secrets]-kohdan muokkaaminen auta.

Tänne kuuluu vielä kaksi tarkistusta. Vahvista, ettei profiilia tuotu tiedostosta, joka osoittaa yhä polkuun, jota liitännäinen ei voi lukea, ja vahvista, että profiili on aktiivinen eikä vanhentunut kaksoiskappale. Molemmat tuottavat aktivointivirheitä, jotka luetaan todennusvirheinä.

Päätä, onko tallentaminen hyväksyttävää

Tallennettu PSK ja salasana ovat luettavissa kaikelle, mikä toimii rootina kyseisellä koneella. Koneella, jota hallitset, se on kohtuullinen vaihtokauppa käyttöliittymättömästä palvelusta. Jaetulla isännällä se ansaitsee keskustelun, koska profiili sisältää nyt tunnistetiedon, jota ennen suojasi työpöydän avainrengas. Kysy, kuka muu pääsee rootiin kyseisellä isännällä, ennen kuin päätät, älä vasta muutoksen jälkeen.

Jos käytäntö kieltää VPN-salaisuuksien tallentamisen, älä heikennä profiilia cron-työn toimimiseksi. Aja yhteys istunnosta, jossa on agentti, tai käytä automaatioon muuta mekanismia.

Lopuksi kirjaa, mitkä profiilit kantavat salaisuuksia, jotta kukaan ei kopioi yhtä kannettavaan huomaamatta. Kommentti salaisuusosion yläpuolella päivämäärineen ja syineen riittää, ja se säästää joltakulta myöhemmin kiusallisen tarkistuksen.