Távoli VPN-szerkesztő SSH-n keresztül: melyik gépet szerkeszti?

Az X11-továbbítás a szerkesztő ablakát a laptopjára teszi, miközben a folyamat tovább fut a távoli gazdagépen. Ez a szakadék az egész csapda: helyi ablakot néz és távoli profilt szerkeszt, és ha tévesen azt feltételezi, melyik gép birtokolja a változást, az elvághatja azt az SSH-kapcsolatot, amelyen dolgozik. Az alábbi ellenőrzőlista rögzíti a gazdagépet és a profilt, mielőtt bármi mentésre kerülne. Minden lépésnek van leállási feltétele, ezért a korai hiba olcsó.

1. lépés: nevezze meg a gépet, amely a profilt birtokolja

Futtassa az azonosító parancsokat abban a shellben, amelyet konfigurálni fog, és olvassa el a választ ahelyett, hogy a promptból következtetne rá. A promptban látható gazdagépnév egy karakterlánc, amelyet a shellje nyomtatott; a kernel gazdagépneve az, amelyben a lista többi része bízik. Ha a kettő eltér, rossz gépen van, vagy a promptot a helyi shellje díszítette. Álljon meg, és kapcsolódjon újra a szándékolt gazdagéphez, mielőtt folytatja.

hostnamectl
hostname -f
ip -brief address

A következő kérdés, hogy egyáltalán ezen a gépen kell-e lennie a VPN-nek. A laptop kliensének konfigurálása és a távoli gazdagép kliensének konfigurálása eltérő útvonalakat, eltérő DNS-t és eltérő hiba módokat eredményez. Döntse el, melyiket érti, mielőtt profilhoz nyúl, és írja le a döntést ott, ahol a következő ember megtalálja.

2. lépés: a profilt UUID szerint olvassa, ne címke szerint

A NetworkManager UUID szerint azonosítja a kapcsolatot, míg a név olyan címke, amelyet bárki szerkeszthet vagy megkettőzhet. Listázza mindkettőt, és egyeztesse azt a bejegyzést, amelyet valóban szeretne, különösen olyan gazdagépen, ahol az évek során több VPN-profil importálásra került.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

A mentett bejegyzések és az aktív kapcsolatok más-más kérdésre válaszolnak: az első azt sorolja fel, ami létezik, a második azt, ami éppen forgalmat szállít. Az engedélyek sor a munkamenet helyi szabályzatát írja le, és semmit sem mond arról, hogy a VPN-átjáró elfogadja-e a fiókot. Ha a szükséges profil nincs a mentett listában, álljon meg itt, mert a rossz bejegyzés szerkesztése rosszabb, mint a semmilyen szerkesztés.

Amint megvan az UUID, tegye egy változóba, és használja ezt a változót minden későbbi parancsban. Ez kiküszöböli a másolási és beillesztési hibák egy osztályát, és reprodukálhatóvá teszi az átiratot.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

3. lépés: döntse el, a grafikus szerkesztő-e a megfelelő eszköz

Az a szerkesztő, amelynek polkit-kérdésre vagy titokügynökre van szüksége, nem kap ilyet csak azért, mert az ablaka megjelenik a laptopján. Ezek az összetevők a távoli munkamenet környezetében futnak, és a kijelző továbbítása nem továbbítja őket. Ha a szerkesztő hitelesítési vagy titokhiba miatt nem tud menteni, a kijelző nem a probléma.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

Az OpenSSH engedélyezi az X11-továbbítást -X segítségével, és dokumentálja a vele járó óvatosságot: a távoli gazdagép elérheti a helyi kijelzőjét, ami valódi bizalmi határ. A megbízható továbbítás -Y segítségével eltávolít néhányat ezekből az ellenőrzésekből, és soha nem szabad reflexmegoldásnak lennie egy olyan alkalmazásnál, amely az alapértelmezés szerint meghiúsul. Ha a szervezete közzétesz egy távoli adminisztrációs módszert, használja azt ahelyett, hogy változatot találna ki. A legtöbb esetben a parancssori szerkesztő a kisebb felület és a jobb válasz.

Álljon meg itt, ha az egyetlen működő útvonalhoz -Y szükség van, és nem tudja megmagyarázni, miért. Ez a biztonsági szabályzat tulajdonosának döntése, nem személyes szkriptben tartott megkerülés.

4. lépés: tartson fenn helyreállítási útvonalat, mielőtt bármit aktivál

A VPN-módosítás eltávolíthatja azt az útvonalat, amelytől az SSH-munkamenet függ, ezért rendezze a visszautat a profil aktiválása előtt. A konzolhozzáférés, a sávon kívüli felügyeleti cím vagy az ütemezett visszaállítás mind számít; az a remény, hogy a módosítás működik, nem számít.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Csak a szándékolt profilt aktiválja, majd ellenőrizze a távoli gazdagépről: az alapértelmezett útvonalat, az SSH visszaútját és egy erőforrást, amelynek az alagúton keresztül elérhetőnek kell lennie. A laptopjáról végzett sikeres ellenőrzés a laptop útvonalát teszteli, és semmit sem mond a távoli gazdagépről. Ha a munkamenet megszakad, használja a helyreállítási útvonalat a vak újracsatlakozás helyett. A profil mentése nem aktiválás, az aktiválás pedig nem ellenőrzés.

Jegyezze fel az UUID-t, a megváltoztatott tulajdonságértékeket és az ellenőrzésükre használt parancsokat. A következő embernek, aki ehhez a gazdagéphez nyúl, mindháromra szüksége lesz, és az átirat többet ér, mint egy összefoglaló, amely szerint a VPN javítva lett. A visszaállítási megjegyzés nélkül végződő ellenőrzőlista fél lista.