Fjirre VPN-bewurker oer SSH: hokker masine bewurkest do?

X11-trochstjoering set it finster fan 'e bewurker op dyn laptop, wylst it proses op 'e fjirre host trochrint. Dat gat is de hiele falstrik: do sjochst nei in lokaal finster en bewurkest in fjirre profyl, en in ferkearde oanname oer hokker masine de feroaring besit, kin de SSH-keppeling dêr't do oer wurkest, trochsnije. De checklist hjirûnder fêstiget de host en it profyl foardat der eat bewarre wurdt. Eltse stap hat in stopbetingst, dus in betide mislearring is goedkeap.

Stap 1: neam de masine dy't it profyl besit

Fier de identiteitsopdrachten út yn 'e shell dy't do konfigurearje silst, en lês it antwurd ynstee fan it út 'e prompt ôf te lieden. In hostnamme yn in prompt is in tekenrige dy't dyn shell printsje hat; de hostnamme fan 'e kernel is wat de rest fan dizze checklist fertrout. As de twa net oerienkomme, bist op 'e ferkearde masine of de prompt is fersierd troch dyn lokale shell. Stop en meitsje op 'e nij ferbining mei de bedoelde host foardat do trochgiest.

hostnamectl
hostname -f
ip -brief address

De folgjende fraach is oft dizze masine de VPN wol hâlde moat. It konfigurearjen fan 'e klant fan 'e laptop en it konfigurearjen fan 'e klant fan 'e fjirre host jouwe ferskillende rûtes, ferskillende DNS en ferskillende mislearringsmodi. Beslis hokker fan 'e twa do bedoelst foardat do in profyl oanrekest, en skriuw it beslút op dêr't de folgjende persoan it fine sil.

Stap 2: lês it profyl op UUID, net op label

NetworkManager identifisearret in ferbining op UUID, wylst de namme in label is dy't elkenien bewurkje of duplisearje kin. Lis beide op en keppel it item dat do echt bedoelst, benammen op in host dêr't troch de jierren ferskate VPN-profilen ymportearre binne.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Bewarre items en aktive ferbiningen beantwurdzje ferskillende fragen: it earste listet op wat der is, it twadde listet op wat no ferkear draacht. De rige mei tastimmingen beskriuwt lokaal belied foar dyn sesje en seit neat oer oft de VPN-gateway it akkount akseptearret. As it profyl dat do nedich hast net yn 'e bewarre list stiet, stop dan hjir, want it ferkearde item bewurkje is slimmer as hielendal net bewurkje.

Sadree't do de UUID hast, set dy yn in fariabele en brûk dy fariabele yn elk letter opdracht. Dat hellet in klasse fan kopiear- en plakflaters fuort en makket it transkript werombare.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Stap 3: beslis oft in grafyske bewurker it juste ark is

In bewurker dy't in polkit-prompt of in geheime-agens nedich hat, krijt dy net krekt om't syn finster op dyn laptop ferskynt. Dy komponinten rinne yn 'e kontekst fan 'e fjirre sesje, en it trochstjoeren fan in byldskerm stjoert dy net troch. As de bewurker net bewarje kin troch in autorisaasje- of geheimeflater, is it byldskerm net it probleem.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH ynskeakelt X11-trochstjoering mei -X en dokumintearret de foarsichtigens dy't dêrmei giet: de fjirre host kin dyn lokale byldskerm berikke, dat is in echte fertrouwensgrins. Fertroude trochstjoering mei -Y hellet guon fan dy kontrôles fuort en moat nea de refleksoplossing wêze foar in tapassing dy't ûnder de standert mislearret. As dyn organisaasje in metoade foar fjirrebehear publisearret, brûk dy dan ynstee fan in fariant te betinken. Yn 'e measte gefallen is de opdrachtrigebewurker it lytsere oerflak en it bettere antwurd.

Stop hjir as it iennige wurkjende paad -Y nedich hat en do net útlizze kinst wêrom. Dat is in beslissing foar wa't it feiligensbelied besit, net in omwei om yn in persoanlik skript te hâlden.

Stap 4: hâld in werstelpaad foardat do eat aktivearrest

In VPN-feroaring kin de rûte fuorthelje dêr't dyn SSH-sesje fan ôfhinklik is, dus regel in wei werom foardat do it profyl aktivearrest. Konsoltagong, in bûtenbaanbehearsadres of in pland weromrol telle alle; de hope dat de feroaring wurket, telt net.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktivearje allinnich it bedoelde profyl en ferifiearje dan fan 'e fjirre host: de standertrûte, it SSH-werompaad en ien boarne dy't troch de tunnel berikber wêze moat. In suksesfolle kontrôle fan dyn laptop testet it paad fan 'e laptop en seit neat oer de fjirre host. As de sesje falt, brûk it werstelpaad ynstee fan blind op 'e nij te ferbinen. In profyl bewarje is gjin aktivaasje, en aktivaasje is gjin ferifikaasje.

Skriuw de UUID, de eigenskipswaarden dy't do feroare hast en de opdrachten dy't do brûkt hast om se te ferifiearjen op. De folgjende persoan dy't dizze host oanrekket, hat alle trije nedich, en in transkript is mear wurdich as in gearfetting dy't seit dat de VPN reparearre is. In checklist dy't einiget sûnder weromrolnotysje is in heale checklist.