Az nmcli újra és újra a VPN-jelszót kéri: tárolja a titkot helyben

Ugyanaz a profil, két munkamenet: asztalról csatlakozik, SSH-n keresztül pedig egy olyan felszólításnál akad el, amelyre semmi sem tud válaszolni. Semmi nem tört el, és egyetlen beállítás sem veszett el. A NetworkManager egy titokügynöktől kéri a hitelesítő adatot, a titokügynök pedig olyan asztali összetevő, amely nem létezik az Ön által használt munkamenetben.

Futtassa az alábbi sorozatot, és az alagút grafikus felület nélkül feljön, azzal a fenntartással, hogy egy titok tárolása megváltoztatja, ki használhatja ezt a profilt.

Erősítse meg a diagnózist, mielőtt bármit módosítana

Az interaktív és a nem interaktív aktiválás közötti különbség maga a teljes diagnózis. Ha az nmcli --ask connection up sikerül, miközben egy egyszerű aktiválás elakad, a profil rendben van, és a titok forrása hiányzik. Ez az egyetlen összehasonlítás megkíméli egy működő konfiguráció újraírásától.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Olvassa a jelzőket ahelyett, hogy kitalálná őket. A "kérdezz meg egy ügynököt" jelentésű értékek azok, amelyeket keres, és a pontos kulcsnevek VPN-bővítményenként eltérnek, mert a bővítmény saját adatszótárában élnek. Egy FortiSSL-profil és egy IPsec-profil nem feltétlenül használja ugyanazokat a neveket, ezért a saját profilja kimenetéből dolgozzon.

Azt is ellenőrizze, hogy az adott protokoll bővítménycsomagja telepítve van-e. A hiányzó bővítmény ismeretlen kapcsolattípusként vagy olyan aktiválási hibaként jelenik meg, amely semmit nem mond a jelszavakról, és a titok utáni hajsza ebben az állapotban kétszer pazarolja el ugyanazt az órát. Egy csomaglekérdezés olcsóbb, mint egy egész délután kulcsfájlok szerkesztése.

Helyezze át a titkot a kulcsfájlba

A kapcsolatfájl a /etc/NetworkManager/system-connections/ alatt található. A titkokat alapértelmezés szerint nem ott tárolja, és éppen ez az imént olvasott jelzők értelme. Egy jelző nullára állítása azt mondja a NetworkManagernek, hogy az érték a profillal együtt van tárolva, nem pedig aktiváláskor kérdezendő le.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Két titkot tartalmazó profil esetén a minta ismétlődik: egy jelző titkonként a [vpn] szakaszban, az értékek pedig a [vpn-secrets]-ban. Egy IPsec-profil általában előre megosztott kulcsot hordoz a felhasználói hitelesítő adat mellett, és a bővítmény másként nevezi el őket, mint egy egyszerű jelszómezőt, ezért a kulcsneveket a vpn.data kimenetéből másolja, ne egy olyan blogbejegyzésből, amely másik bővítményt használt. Egyetlen rossz kulcsnév olyan profilt eredményez, amely betöltődik, majd a hitelesítésnél elbukik, ami pontosan úgy olvasható, mint egy rossz jelszó. Hasonlítsa össze a fájlját egy működő, ugyanabból a bővítményből származó profillal, mielőtt újra csatlakozik.

Tegye idézőjelbe azokat az értékeket, amelyek szóközt, idézőjelet vagy dollárjelet tartalmaznak. Az idézőjel nélküli, $ jelet tartalmazó értéket attól függően olvassa szó szerint vagy bontja ki, hogy hol elemzik, és az ebből eredő hitelesítési hiba rossz jelszónak tűnik.

Ezután javítsa a fájl tulajdonosát és módját. Ezeket a kulcsfájlokat egy kiemelt jogosultságú szolgáltatás olvassa, és az a fájl, amelyet más felhasználók olvashatnak, megbízhatatlannak számít, ami a szokásos oka annak, hogy egy szerkesztett profil figyelmen kívül hagyottnak tűnik. Tulajdonos root, mód 600, kivétel nélkül.

Töltse újra, majd aktiválja

A fájlt a kapcsolat betöltésekor olvassa, tehát a szerkesztés nem elég. Töltse újra a profilokat, majd hozza fel a kapcsolatot kifejezetten.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Ha az újratöltés nem veszi át a változást, a szolgáltatás teljes újraindítása igen, és pontosan erről vannak jelentések. Részesítse előnyben az újratöltést, ha más kapcsolatok számítanak, mert a szolgáltatás újraindítása minden kezelt kapcsolatot megszakít, és egy távoli gazdagépen ez véget vethet a munkamenetének, mielőtt a kívánt alagút feljönne.

Használja az UUID-t, ha a nevek kétértelműek. A több ügyfélprofillal rendelkező gépeken majdnem-duplikátumok halmozódnak fel, és a rossz aktiválása olyan hibát okoz, amely hitelesítőadat-problémának tűnik.

Amikor nem a tárolt titok a probléma

Egy FortiSSL-profil akkor is elbukhat helyes tárolt hitelesítő adattal, mert a kliens soha nem bízik meg az átjáró tanúsítványában. Ez a beállítás nincs a fő párbeszédablakban; a VPN speciális beállításai mögött van, ahol a megbízható tanúsítvány lenyomatát kell megadni. Ha a napló a jelszó helyett a tanúsítványt említi, ebben az ágban van, és a [vpn-secrets] szerkesztése semmilyen mennyiségben nem segít.

Ide tartozik még két ellenőrzés. Erősítse meg, hogy a profilt nem olyan fájlból importálták, amely még mindig olyan útvonalra mutat, amelyet a bővítmény nem tud olvasni, és erősítse meg, hogy a profil az aktív, és nem egy elavult duplikátum. Mindkettő olyan aktiválási hibákat okoz, amelyek hitelesítési hibaként olvashatók.

Döntse el, elfogadható-e a tárolás

A tárolt PSK és jelszó olvasható minden számára, ami rootként fut azon a gépen. Egy Ön által irányított gépen ez ésszerű csere egy grafikus felület nélküli szolgáltatásért. Egy megosztott gazdagépen megér egy beszélgetést, mert a profil most olyan hitelesítő adatot tartalmaz, amelyet korábban az asztali kulcstartó védett. Kérdezze meg, ki más érheti el a rootot azon a gazdagépen, a döntés előtt, ne azután, hogy a változás megtörtént.

Ha a szabályzat tiltja a VPN-titkok tárolását, ne gyengítse a profilt azért, hogy egy cron-feladat működjön. Futtassa a kapcsolatot olyan munkamenetből, amelyben van ügynök, vagy használjon más mechanizmust az automatizáláshoz.

Végül jegyezze fel, mely profilok hordoznak titkokat, hogy senki ne másoljon egyet észrevétlenül egy laptopra. Elég egy megjegyzés a titkok szakasza fölött a dátummal és az okkal, és ez később megkímél valakit egy kellemetlen átvizsgálástól.