Az OpenVPN systemd-jelszókérésre vár: meg kell válaszolni?

A terminálon megjelenik egy üzenet a systemd-tty-ask-password-agent komponensről, és az alagút nem áll. A csábító olvasat az, hogy a VPN elutasított egy jelszót, és valami most javításra vár. Pontosabb azt mondani, hogy egy szolgáltatás interaktív bemenetet kért a systemd-től, és a kérésre még nem érkezett válasz. Melyik szolgáltatás kérdezett, és milyen titkot akar, két kérdés, amelyet még azelőtt eldönthet, hogy bármit begépelne.

Két feltétel dönti el, kinek kell válaszolnia

Az első feltétel, hogy szándékosan indította-e el ezt a példányt. Az a kérés, amely az Ön műveletét követi, az Öné, hogy válaszoljon rá, az pedig, amely megfelelő művelet nélkül jelenik meg, valami máshoz tartozik. A második, hogy a titok fiókhitelesítés vagy kulcsvédelem, mert ezek különböző helyeken élnek, és különböző kódutakon járnak. Mindkét válasz látható a naplóban, ha cselekvés előtt megnézi.

Ha mindkét válasz világos, a döntés egyszerű: a szolgáltatás saját támogatott kérési útvonalán válaszoljon. Ha bármelyik nem világos, a helyes lépés a vizsgálat, nem pedig jelszó beírása egy olyan kérésbe, amelyet nem tud hozzárendelni.

Ez az egész szabály, és érdemes a parancsok előtt kimondani. Minden alábbi dolog ebből következik.

Listázza a kérést, mielőtt bármit begépel

Az ügynök bárminek a megválaszolása nélkül felsorolhatja, mi van függőben. A sudo systemd-tty-ask-password-agent --list kiírja a nyitott kéréseket, és ez a kimenet az a bizonyíték, amelyre szüksége van ahhoz, hogy egy kérést egy egységhez kapcsoljon. Olvassa el, mielőtt hitelesítő adatot ad, és tartsa a kérések leírását minden nyilvános diagnosztikai beillesztésen kívül.

Kapcsolja össze a listát az elindított művelettel és az azt birtokló egységgel. Ha semmi sem felel meg a listán a műveletének, a látott kérés egy másik szolgáltatáshoz tartozik, és nem az Ön feladata megoldani. A lista egységneve az egyetlen megbízható kapcsolat a kérés és a szolgáltatás között.

Ne válaszoljon olyan kérésre, amelyet nem tud hozzárendelni. A várakozás ára késlekedés, míg a rossz kérés megválaszolásának ára hitelesítő adat a rossz helyen.

Melyik titokra van valójában szüksége a példánynak?

A auth-user-pass a VPN-szolgáltatás felé irányuló fiókhitelesítésről szól, és hitelesítő adatfájl nélkül a dokumentált viselkedés a konzolon való kérdezés. A askpass ehelyett a védett kulcsanyagot feloldó jelmondatot szerzi meg, és ezt még azelőtt teszi, hogy a folyamat a háttérbe vonulna. Ezek különböző titkok, különböző élettartammal.

A fájlformátumok is eltérnek. A fiókforma egy felhasználónév-sort és egy jelszósort vár, míg a kulcs jelmondatfájlja az első sort olvassa jelszavaként. A hitelesítő adatfájl receptjének átvétele a másik szerepből általában még egy kérést eredményez megoldás helyett. A rossz alakú fájl rosszabb, mint a semmilyen fájl, mert a hiba olyan helyre kerül, amelyet senki sem figyel.

Ellenőrizze, melyik direktívát használja a példány, mielőtt eldönti, mit gépeljen. A direktíva neve megmondja, melyik titokhoz szól a kérés.

Mit tesz a --query, amit a --list nem

A --query a hívó terminálon minden függőben lévő kérést feldolgoz, ami sokkal szélesebb művelet, mint egyetlen kérés megválaszolása. Ez nem OpenVPN-választó, és egy forgalmas gépen más egységekhez tartozó kérésekre is válaszolhat. A figyelő mód még szélesebb, mert folyamatosan kezeli a kéréseket, ahogy megérkeznek.

A legszűkebb működő mechanizmust használja. Egyetlen szolgáltatás esetén az adott szolgáltatás saját kérési folyamata szűkebb egy globális ügynöknél, és a választ a kérdező egységhez kötve tartja.

Egy egyszeri kérésből felügyelet nélküli globális ügynököt csinálni amiatt, hogy egyszer megjelent egy értesítés, így válik egy átmeneti bosszúságból állandó tervezési döntés. Ugyanez az óvatosság vonatkozik a jelszóértesítő egységek letiltására az egész gazdagépen.

Döntsön, majd rögzítse a választást

Felügyelet nélküli telepítéshez egyeztesse a hitelesítő adatok forrását, a fájljogosultságokat és a megújítási ütemtervet a kapcsolat tulajdonosával. Egy interaktív második tényezőhöz személyre vagy dedikált szolgáltatásazonosságra lehet szükség. A kérés elnyomása nem hozza létre azt a hitelesítést, és a auth-user-pass eltávolítása csak azt a szolgáltatást töri el, amelynek szüksége van rá.

Az interakció után nézze meg ugyanazt a példányt a következő eseménye szempontjából, és tesztelje a privát erőforrást. Ha semmi nincs függőben, térjen vissza a példány állapotához, ahelyett hogy a gazdagép minden OpenVPN-egységét elindítaná.