nmcli ממשיך לשאול לסיסמת ה-VPN: אחסנו את הסוד מקומית

אותו פרופיל, שתי הפעלות: הוא מתחבר משולחן העבודה ונתקע דרך SSH על בקשה ששום דבר אינו יכול לענות עליה. שום דבר אינו שבור ואף הגדרה לא אבדה. NetworkManager מבקש את פרטי ההזדהות מסוכן סודות, וסוכן סודות הוא רכיב שולחן עבודה שאינו קיים בהפעלה שבה אתם משתמשים.

הריצו את הרצף שלמטה והמנהרה תעלה בלי ממשק גרפי, בכפוף לכך שאחסון סוד משנה מי יכול להשתמש בפרופיל הזה.

אשרו את האבחנה לפני שתשנו משהו

ההבדל בין הפעלה אינטראקטיבית ללא-אינטראקטיבית הוא כל האבחנה. אם nmcli --ask connection up מצליח בעוד הפעלה רגילה נתקעת, הפרופיל תקין, וכן מקור הסוד חסר. ההשוואה האחת הזאת חוסכת מכם לשכתב תצורה שעובדת.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

קראו את הדגלים במקום לנחש אותם. ערכים שמשמעותם "שאל סוכן" הם מה שאתם מחפשים, ושמות המפתחות המדויקים שונים בין תוספי VPN מפני שהם חיים במילון הנתונים של התוסף עצמו. פרופיל FortiSSL ופרופיל IPsec לא בהכרח משתמשים באותם שמות, לכן עבדו מתוך הפלט של הפרופיל שלכם.

ודאו גם שחבילת התוסף עבור הפרוטוקול הזה מותקנת. תוסף חסר מופיע כסוג חיבור לא ידוע או כשגיאת הפעלה שאינה אומרת דבר על סיסמאות, ומרדף אחרי הסוד במצב הזה מבזבז את אותה שעה פעמיים. שאילתת חבילה אחת זולה יותר מאחר צהריים שלם של עריכת קובצי מפתח.

העבירו את הסוד לקובץ המפתח

קובץ החיבור נמצא תחת /etc/NetworkManager/system-connections/. סודות אינם נשמרים שם כברירת מחדל, וזו הנקודה של הדגלים שקראתם זה עתה. שינוי דגל לאפס אומר ל-NetworkManager שהערך נשמר עם הפרופיל במקום להתבקש בזמן ההפעלה.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

בפרופיל עם שני סודות התבנית חוזרת על עצמה: דגל אחד לכל סוד במקטע [vpn], והערכים ב-[vpn-secrets]. פרופיל IPsec נושא בדרך כלל מפתח משותף מראש לצד פרטי ההזדהות של המשתמש, והתוסף נותן להם שמות שונים משדה סיסמה רגיל, לכן העתיקו את שמות המפתחות מהפלט של vpn.data ולא מרשומת בלוג שהשתמשה בתוסף אחר. שם מפתח אחד שגוי יוצר פרופיל שנטען ואז נכשל באימות, מה שנקרא בדיוק כמו סיסמה שגויה. השוו את הקובץ שלכם לפרופיל עובד של אותו תוסף לפני שתתחברו שוב.

הקיפו במרכאות ערכים שמכילים רווחים, מרכאות או סימן דולר. ערך בלי מרכאות שיש בו $ ייקרא ככתבו או יורחב בהתאם למקום שבו הוא מנותח, וכשל האימות שנוצר נראה כמו סיסמה שגויה.

לאחר מכן תקנו את הבעלות והמצב של הקובץ. קובצי מפתח אלה נקראים על ידי שירות בעל הרשאות, וקובץ שמשתמשים אחרים יכולים לקרוא נחשב לבלתי מהימן, וזו הסיבה הרגילה לכך שפרופיל שערכתם נראה כאילו התעלמו ממנו. בעלים root, מצב 600, בלי יוצאים מן הכלל.

טענו מחדש, ואז הפעילו

הקובץ נקרא כשהחיבור נטען, לכן עריכה שלו אינה מספיקה. טענו מחדש את הפרופילים ואז העלו את החיבור במפורש.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

אם הטעינה מחדש לא קולטת את השינוי, הפעלה מחדש מלאה של השירות עושה זאת, ויש דיווחים בדיוק על כך. העדיפו את הטעינה מחדש כשקישורים אחרים חשובים, מפני שהפעלה מחדש של השירות מנתקת כל חיבור מנוהל, ובמארח מרוחק זה יכול לסיים את ההפעלה שלכם לפני שהמנהרה שרציתם עלתה.

השתמשו ב-UUID כשהשמות דו-משמעיים. מכונות עם כמה פרופילי לקוחות אוגרות כמעט-כפילויות, והפעלה של השגוי מייצרת כשל שנראה כמו בעיית פרטי הזדהות.

כשהסוד המאוחסן אינו הבעיה

פרופיל FortiSSL יכול להיכשל גם עם פרטי הזדהות מאוחסנים נכונים מפני שהלקוח אינו בוטח לעולם בתעודה של השער. ההגדרה הזו אינה בתיבת הדו-שיח הראשית; היא מאחורי האפשרויות המתקדמות של ה-VPN, שם מזינים את תקציר התעודה המהימנה. אם היומן מזכיר את התעודה ולא את הסיסמה, אתם בענף הזה וכל כמות של עריכת [vpn-secrets] לא תעזור.

שתי בדיקות נוספות שייכות לכאן. ודאו שהפרופיל לא יובא מקובץ שעדיין מצביע על נתיב שהתוסף אינו יכול לקרוא, וודאו כי הפרופיל הוא הפעיל ולא כפילות מיושנת. שניהם מייצרים כשלי הפעלה שנקראים כשגיאות אימות.

החליטו אם אחסון מקובל

PSK וסיסמה מאוחסנים ניתנים לקריאה על ידי כל דבר שרץ כ-root במכונה ההיא. במכונה שאתם שולטים בה זהו חילוף סביר עבור שירות בלי ממשק. במארח משותף זה ראוי לשיחה, מפני שהפרופיל מכיל כעת פרטי הזדהות שבעבר הוגנו על ידי מחזיק המפתחות של שולחן העבודה. שאלו מי עוד יכול להגיע ל-root במארח ההוא לפני שתחליטו, לא אחרי שהשינוי כבר במקום.

אם המדיניות אוסרת אחסון סודות VPN, אל תחלישו את הפרופיל כדי שמשימת cron תעבוד. הריצו את החיבור מהפעלה שיש בה סוכן, או השתמשו במנגנון אחר לאוטומציה.

לבסוף, תעדו אילו פרופילים נושאים סודות כדי שאיש לא יעתיק אחד למחשב נייד בלי לשים לב. הערה מעל מקטע הסודות עם התאריך והסיבה מספיקה, והיא תחסוך ממישהו סקירה לא נעימה בהמשך.