Axente de Polkit ou axente secreto: que aviso falta?

Lea o texto do diálogo antes de tocar calquera configuración. Un aviso pide autoridade para cambiar a rede da máquina; o outro pide o segredo que necesita unha conexión. Veñen de compoñentes distintos, fallan por motivos distintos, e arranxar un nunca arranxa o outro. A mensaxe nomea con cal dos dous ten que ver.

Comece por ese nome e non pola VPN, que só é o motivo polo que se solicitou a operación.

Que aviso lle falta en realidade?

Un aviso de autorización local significa que o escritorio pregunta se este usuario pode realizar unha operación privilexiada. Un aviso de segredo significa que o almacén de conexións necesita un contrasinal, unha frase de clave ou un testemuño antes de que se poida construír o túnel. O primeiro respóndeo un axente de autenticación da súa sesión; o segundo, un axente secreto ao que pode chegar o servizo de xestión de rede. Se a mensaxe di que non se atopou ningún axente de autenticación, aínda non se pediu ningún contrasinal de VPN.

Ese orde importa cando informa do problema. O contexto de lanzamento, a operación local solicitada, o resultado da autorización e calquera erro de conexión posterior son catro feitos separados, e unilos produce un informe sobre o que ninguén pode actuar.

O axente de Polkit vive na súa sesión

Polkit mantén unha operación privilexiada do sistema separada do programa ordinario que a pide, e un axente na sesión do usuario presenta esa interacción. Un escritorio lixeiro, un lanzador iniciado desde un terminal espido ou unha sesión que perdeu o seu axente poden deixar esa interacción non dispoñible. Comprobe como se iniciou a aplicación antes de supoñer que a política é incorrecta. Unha sesión só de texto necesita o seu propio axente admitido, non un gráfico prestado doutro inicio de sesión.

Copiar enderezos do bus de sesión ou variables de pantalla da contorna doutro usuario non é un plan de autorización. Produce unha sesión que parece conectada e que aínda non pode responder correctamente ao aviso.

O axente secreto fornece outra cousa

O servizo de xestión de rede pide a un axente secreto credenciais que non almacena, e o axente mostra esa petición ao usuario. Un cliente de liña de ordes co seu propio aviso interactivo é un deses axentes; o escritorio adoita fornecer outro. Pór un segredo a disposición non outorga autoridade para modificar a rede do sistema, e reparar a autorización local non crea unha credencial que falta. Un fluxo de traballo pode necesitar as dúas respostas, e sempre nesa orde.

Se o aviso do segredo nunca aparece, mire a que axente pode chegar o servizo e non a política de polkit.

Repare a sesión, non o nivel de privilexio

Use o axente admitido do escritorio e a integración de arranque en lugar de executar toda a interface da VPN como root. Conceder a todos os usuarios administración de rede incondicional, ou desactivar o servizo de autorización, cambia un aviso que falta por un burato permanente. En equipos xestionados, o administrador pode esixir deliberadamente un operador aprobado, e a solución correcta é traballar dentro desa decisión. Consulte a vista de permisos admitidos para ver que pode solicitar o usuario actual.

Non incorpore a resposta local ao resultado de autenticación da pasarela; son dous acontecementos. Un aviso interactivo de segredo nun terminal tampouco exime ninguén da política de autorización, por cómodo que pareza.

Rexistre que axente respondeu, en que sesión, e que pasou despois.