Zašto VPN usluga pokrenuta pri podizanju sustava ne može pročitati vaš privjesak ključeva

Veza koja radi nakon prijave, a zakaže prije nje, obično znači da pokušaj pri podizanju nije mogao dobiti tajnu, a ne da ju je poslužitelj odbio. Akreditiv postoji; kontekst koji ga traži ne postoji. Ta jedna razlika štedi nepotrebno resetiranje lozinke.

Pratite zahtjev: nešto pokreće vezu prije nego što postoji sesija radne površine, a spremište tajni koje inače odgovara još nije otključano. Dva se konteksta ne slažu oko toga kome tajna pripada, a profil bilježi koji od njih treba da ju dostavi.

Što putanja podizanja zapravo traži

Pri podizanju sustava NetworkManager se pokreće kao sustavna usluga bez korisničke sesije, bez sesijskog D-Busa i bez otključanog privjeska ključeva. Profil veze ipak se može podići, ali samo s tajnama do kojih usluga može doći sama. Sve što posjeduje agent za tajne čeka dok se čovjek ne prijavi i agent se ne pojavi. Usluga radi točno ono što kaže njezina konfiguracija; profil je ono što se mora promijeniti.

Kvar je upisan u vezu, a ne skriven u privjesku ključeva.

Čitanje zastavica tajni na vezi

Pitajte vezu što očekuje, a ne što radna površina pamti. Stupac zastavica izravno odgovara na pitanje i preživljava ponovna pokretanja u datoteci profila na disku.

Počnite s popisom profila, pa potvrdite koja je veza postavljena da se podiže sama. Zatim ispišite jednu vezu i pročitajte zastavice lozinke:

nmcli -f NAME,UUID,TYPE,AUTOCONNECT connection show
nmcli connection show "Work VPN" | grep -i -E "password|secret|key"
journalctl -b -u NetworkManager --grep "secret"

Prva naredba potvrđuje koji profili postoje i je li neki postavljen na automatsko povezivanje, čime se uopće pokreće pokušaj bez nadzora. Druga otkriva vrijednosti zastavica, a treća pokazuje kako se usluga žali da nijedan agent nije odgovorio za zadanu tajnu. Linija dnevnika koja tajnu naziva agentovom jest cijela dijagnoza u jednoj rečenici.

Zašto premještanje veze u sustavni opseg mijenja odgovor

Vezu koju posjeduje korisnik aktivira njegov agent, zato savršeno radi kad se radna površina podigne. Premještanje u sustavni opseg uklanja agenta s putanje, pa se isti profil ponaša drugačije bez ijedne promijenjene linije VPN konfiguracije.

To premještanje je legitiman dizajn i nosi zahtjev: tajna mora biti dostupna sustavnoj usluzi. Čuvanje u profilu, dostavljanje kroz akreditiv sustavnog opsega ili prihvaćanje interaktivnog upita u pravom trenutku sve su valjani odgovori. Ostaviti zastavicu 1 i nadati se nije.

Privatni ključ s vlastitom lozinkom dodaje drugi sloj. Čak ni spremljena lozinka računa neće otključati ključ koji traži lozinku, zato provjerite koju tajnu faza koja ne uspijeva zapravo traži prije nego što bilo što promijenite.

Što ne treba raditi i što umjesto toga raditi

Učiniti svaku datoteku akreditiva čitljivom za sve ili isključiti provjeru identiteta da upit ne bi bio potreban razmjenjuje neugodnost pri pokretanju za trajnu izloženost. Oboje i skriva ovisnost umjesto da je rješava, a sljedeće ažuriranje slike vraća isti kvar.

Koristite u toj fazi mehanizam koji vaša distribucija dokumentira za aktivaciju bez nadzora, pa potvrdite da se zastavice profila s njim podudaraju. Provjerite rezultat s čistog podizanja, a ne iz ljuske koja već ima agenta. Zapišite vlasnika veze, izvor tajne i fazu koja mora raditi, da kasnija promjena automatskog pokretanja ne bi tiho vratila ovisnost o tome da netko prvo otključa radnu površinu. Dokumentacija je razlika između popravljene usluge i one koja se opet kvari sljedeći kvartal.

Testirajte s kontroliranog čistog podizanja, a ne ručnim ponovnim pokušajem nakon prijave. Ponovni pokušaj uspijeva zbog razloga zbog kojeg je pokušaj pri podizanju propao, i to je upravo dokaz koji brz test uništava.