Editor VPN remoto por SSH: que máquina está editando?

O reenvío X11 pon a xanela do editor no seu portátil mentres o proceso segue executándose no host remoto. Esa fenda é toda a trampa: vostede mira unha xanela local e edita un perfil remoto, e unha suposición errada sobre que máquina posúe o cambio pode cortar a ligazón SSH pola que traballa. A lista de comprobación de abaixo fixa o host e o perfil antes de gardar nada. Cada paso ten unha condición de parada, así que un fallo temperán sae barato.

Paso 1: nomee a máquina que posúe o perfil

Execute os comandos de identidade na shell que vai configurar e lea a resposta en lugar de supoñela polo indicador. Un nome de host no indicador é unha cadea que imprimiu a súa shell; o nome de host do kernel é o que confía o resto desta lista. Se os dous non coinciden, está na máquina equivocada ou o indicador está decorado pola súa shell local. Detéñase e volva conectarse ao host previsto antes de continuar.

hostnamectl
hostname -f
ip -brief address

A seguinte pregunta é se esta máquina debe aloxar a VPN sequera. Configurar o cliente do portátil e configurar o cliente do host remoto producen rutas distintas, DNS distinto e modos de fallo distintos. Decida cal dos dous quere dicir antes de tocar un perfil, e escriba a decisión onde a atope a seguinte persoa.

Paso 2: lea o perfil por UUID, non por etiqueta

NetworkManager identifica unha conexión por UUID, mentres que o nome é unha etiqueta que calquera pode editar ou duplicar. Enumere ambos e faga coincidir a entrada que realmente quere, sobre todo nun host onde se importaron varios perfís VPN co paso dos anos.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

As entradas gardadas e as conexións activas responden preguntas distintas: a primeira enumera o que existe, a segunda enumera o que leva tráfico agora mesmo. A liña de permisos describe a política local da súa sesión e non di nada sobre se a pasarela VPN aceptará a conta. Se o perfil que necesita non está na lista gardada, detéñase aquí, porque editar a entrada equivocada é peor que non editar ningunha.

Cando teña o UUID, póñao nunha variable e use esa variable en cada comando posterior. Iso elimina unha clase de erros de copiar e pegar e fai que a transcrición sexa reproducible.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Paso 3: decida se un editor gráfico é a ferramenta axeitada

Un editor que necesita un aviso de polkit ou un axente de segredos non o terá só porque a súa xanela apareza no seu portátil. Eses compoñentes execútanse no contexto da sesión remota, e reenviar unha pantalla non os reenvía. Se o editor non pode gardar cun erro de autorización ou de segredo, a pantalla non é o problema.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH habilita o reenvío X11 con -X e documenta a precaución que o acompaña: o host remoto pode alcanzar a súa pantalla local, o que é unha fronteira de confianza real. O reenvío de confianza con -Y elimina algunhas desas comprobacións e nunca debería ser a solución reflexa para unha aplicación que falla coa configuración predeterminada. Se a súa organización publica un método de administración remota, use ese en lugar de inventar unha variante. Na maioría dos casos, o editor de liña de ordes é a superficie máis pequena e a mellor resposta.

Detéñase aquí se o único camiño que funciona require -Y e non pode explicar por que. Esa é unha decisión de quen posúe a política de seguridade, non unha solución alternativa para gardar nun script persoal.

Paso 4: manteña unha vía de recuperación antes de activar nada

Un cambio de VPN pode eliminar a ruta da que depende a súa sesión SSH, así que prepare unha forma de volver antes de activar o perfil. O acceso por consola, un enderezo de xestión fóra de banda ou unha reversión programada contan; a esperanza de que o cambio funcione non conta.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Active só o perfil previsto e logo verifique desde o host remoto: a ruta predeterminada, a ruta de retorno SSH e un recurso que debería ser accesible polo túnel. Unha comprobación correcta desde o seu portátil proba a ruta do portátil e non di nada do host remoto. Se a sesión cae, use a vía de recuperación en lugar de reconectar ás cegas. Gardar un perfil non é activalo, e activalo non é verificalo.

Anote o UUID, os valores de propiedade que cambiou e os comandos que usou para verificalos. A seguinte persoa que toque este host necesitará os tres, e unha transcrición vale máis que un resumo que diga que a VPN quedou arranxada. Unha lista de comprobación que remata sen unha nota de reversión é media lista.