OpenVPN espera unha solicitude de contrasinal de systemd: deberías respondela?

Aparece unha mensaxe sobre systemd-tty-ask-password-agent no terminal e o túnel non está levantado. A lectura tentadora é que a VPN rexeitou un contrasinal e algo agora agarda unha corrección. É máis exacto dicir que un servizo pediu a systemd unha entrada interactiva e que a solicitude aínda non se respondeu. Que servizo preguntou e que segredo quere son dúas preguntas que pode resolver antes de escribir nada.

Dúas condicións deciden quen debería responder

A primeira condición é se iniciou esta instancia a propósito. Unha solicitude que segue unha acción súa é súa para responder, e unha que aparece sen unha acción correspondente pertence a outra cousa. A segunda é se o segredo é autenticación de conta ou protección de clave, porque ambos viven en lugares distintos e viaxan por rutas de código distintas. Ambas as respostas son visibles no rexistro se mira antes de actuar.

Cando ambas as respostas están claras, a decisión é sinxela: responda pola propia ruta de solicitude admitida do servizo. Cando algunha non está clara, o movemento correcto é investigar en lugar de escribir un contrasinal nunha solicitude que non pode atribuír.

Esa é toda a regra, e paga a pena dicila antes dos comandos. Todo o que segue derívase dela.

Enumere a solicitude antes de escribir nada

O axente pode enumerar o que está pendente sen responder nada. sudo systemd-tty-ask-password-agent --list imprime as solicitudes pendentes, e esa saída é a proba que necesita para conectar unha solicitude cunha unidade. Léaa antes de entregar unha credencial e manteña as descricións das solicitudes fóra de calquera pegado de diagnóstico público.

Correlacione a listaxe coa operación que iniciou e coa unidade que a posúe. Se nada da listaxe coincide coa súa acción, a solicitude que viu pertence a outro servizo e non é súa de resolver. O nome da unidade na listaxe é o único vínculo fiable entre unha solicitude e un servizo.

Non responda unha solicitude que non pode atribuír. O custo de esperar é un atraso, mentres que o custo de responder a solicitude equivocada é unha credencial no lugar equivocado.

Que segredo necesita realmente a instancia?

auth-user-pass refírese á autenticación de conta co servizo VPN, e sen un ficheiro de credenciais o comportamento documentado é preguntar na consola. askpass en cambio obtén a frase de paso que desbloquea material de clave protexido, e faino antes de que o proceso pase a segundo plano. Son segredos distintos con vidas distintas.

Os formatos de ficheiro tamén difiren. A forma de conta espera unha liña de nome de usuario e unha liña de contrasinal, mentres que o ficheiro de frase de paso da clave le a primeira liña como o seu contrasinal. Copiar a receita do ficheiro de credenciais do outro rol adoita producir outra solicitude en lugar dunha solución. Un ficheiro coa forma equivocada é peor que ningún ficheiro, porque o fallo trasládase a un lugar que ninguén vixía.

Comprobe que directiva usa a instancia antes de decidir que escribir. O nome da directiva dille para que segredo é a solicitude.

Que fai --query que --list non fai

--query procesa cada solicitude pendente no terminal que o chama, o cal é unha acción moito máis ampla que responder unha solicitude. Non é un selector de OpenVPN, e nunha máquina ocupada pode responder solicitudes doutras unidades. O modo de vixilancia é aínda máis amplo, porque segue xestionando solicitudes a medida que chegan.

Use o mecanismo máis estreito que funcione. Para un único servizo, o fluxo de solicitude propio dese servizo é máis estreito que un axente global, e mantén a resposta ligada á unidade que preguntou.

Converter unha solicitude puntual nun axente global desatendido porque un aviso apareceu unha vez é a forma en que unha molestia temporal se converte nun deseño permanente. A mesma cautela aplícase a desactivar as unidades de notificación de contrasinal en todo o equipo.

Decida e logo rexistre a escolla

Para un despregamento desatendido, acorde a fonte de credenciais, os permisos do ficheiro e o calendario de renovación con quen posúe a conexión. Un segundo factor interactivo pode necesitar unha persoa ou unha identidade de servizo dedicada. Suprimir a solicitude non produce esa autenticación, e eliminar auth-user-pass só rompe un servizo que o necesita.

Despois da interacción, mire a mesma instancia para o seu seguinte evento e probe o recurso privado. Se non hai nada pendente, volva ao estado da instancia en lugar de iniciar cada unidade OpenVPN do equipo.