Miért nem tudja olvasni a rendszerindításkor indított VPN-szolgáltatás a kulcstartódat
A rendszerindításkor futó VPN-nek nincs feloldott titokügynöke, amelytől kölcsönözne. Olvasd el a kapcsolat titokjelzőit, mielőtt olyan jelszót állítasz vissza, amelyet a kiszolgáló soha nem utasított el.
Az a kapcsolat, amely bejelentkezés után működik, előtte pedig meghiúsul, általában azt jelenti, hogy a rendszerindításkori kísérlet nem tudott titkot szerezni, nem pedig azt, hogy a kiszolgáló elutasított egyet. A hitelesítő adat létezik; a környezet, amely kéri, nem. Ez az egyetlen különbség megspórol egy felesleges jelszó-visszaállítást.
Kövesd a kérést: valami elindítja a kapcsolatot, mielőtt létezne asztali munkamenet, és a titoktár, amely általában válaszol, még nincs feloldva. A két környezet nem ért egyet abban, ki birtokolja a titkot, és a profil rögzíti, melyiküktől várható, hogy szolgáltatja.
Mit kér valójában a rendszerindítási útvonal
Rendszerindításkor a NetworkManager rendszerszolgáltatásként indul felhasználói munkamenet, munkamenet-D-Bus és feloldott kulcstartó nélkül. A kapcsolatprofil ettől még felhozható, de csak olyan titkokkal, amelyeket a szolgáltatás maga is elér. Minden, ami titokügynök birtokában van, addig vár, amíg egy ember be nem jelentkezik, és az ügynök meg nem jelenik. A szolgáltatás pontosan azt teszi, amit a konfigurációja mond; a profilt kell megváltoztatni.
A hiba a kapcsolatba van beírva, nem egy kulcstartóban rejtőzik.
A kapcsolat titokjelzőinek olvasása
A kapcsolattól kérdezd meg, mire számít, ne azt, amire az asztal emlékszik. A jelzőoszlop közvetlenül válaszol a kérdésre, és újraindításokon is átvészel a lemezen lévő profilfájlban.
Kezdd a profilok listájával, majd erősítsd meg, melyik kapcsolat van beállítva arra, hogy magától feljöjjön. Ezután írj ki egy kapcsolatot, és olvasd el a jelszójelzőket:
nmcli -f NAME,UUID,TYPE,AUTOCONNECT connection show nmcli connection show "Work VPN" | grep -i -E "password|secret|key" journalctl -b -u NetworkManager --grep "secret"
Az első parancs megerősíti, mely profilok léteznek, és hogy egy van-e automatikus csatlakozásra állítva, ami egyáltalán elindítja a felügyelet nélküli kísérletet. A második feltárja a jelzőértékeket, a harmadik pedig megmutatja, ahogy a szolgáltatás panaszkodik, hogy egy adott titokra egyetlen ügynök sem válaszolt. Az a naplósor, amely egy titkot ügynök tulajdonaként nevez meg, maga a teljes diagnózis egy mondatban.
| Flag value | Where the secret lives | Behaviour before login |
|---|---|---|
| 0 | Stored in the connection profile | Available to the system service |
| 1 | Owned by a secret agent | Blocks until the agent is unlocked |
| 2 | Never stored | Prompts on every activation |
| 4 | Not required | Never requested at all |
Miért változtatja meg a választ a kapcsolat áthelyezése rendszerszintre
A felhasználó tulajdonában lévő kapcsolatot az adott felhasználó ügynöke alatt aktiválják, ezért működik tökéletesen, amint az asztal feláll. A rendszerszintre helyezés kiveszi az ügynököt az útvonalból, így ugyanaz a profil másképp viselkedik anélkül, hogy a VPN-konfiguráció egyetlen sora megváltozna.
Ez az áthelyezés legitim tervezés, és feltételt hordoz: a titoknak elérhetőnek kell lennie a rendszerszolgáltatás számára. A profilban tárolás, rendszerszintű hitelesítő adaton keresztüli biztosítás vagy egy interaktív kérés elfogadása a megfelelő pillanatban mind érvényes válasz. Az 1-es jelzőt otthagyni és reménykedni nem az.
A saját jelszófrázissal rendelkező privát kulcs második réteget ad. Még egy tárolt fiókjelszó sem nyitja fel azt a kulcsot, amely jelszófrázist kér, ezért ellenőrizd, melyik titkot kéri valójában a meghiúsuló szakasz, mielőtt bármit megváltoztatnál.
Mit ne tegyél, és mit tegyél helyette
Ha minden hitelesítő fájlt mindenki számára olvashatóvá teszel, vagy kikapcsolod a hitelesítést, hogy ne legyen szükség kérésre, akkor az indítási kellemetlenséget állandó kitettségre cseréled. Mindkettő el is rejti a függőséget ahelyett, hogy megoldaná, és a következő lemezkép-frissítés visszahozza ugyanazt a hibát.
Ebben a szakaszban használd a disztribúciód által a felügyelet nélküli aktiváláshoz dokumentált mechanizmust, majd erősítsd meg, hogy a profil jelzői illeszkednek hozzá. Az eredményt tiszta rendszerindításból ellenőrizd, ne olyan héjból, amelynek már van ügynöke. Írd fel a kapcsolat tulajdonosát, a titok forrását és azt a szakaszt, amelynek működnie kell, hogy egy későbbi automatikus indítási változtatás ne tudja csendben visszahozni annak függőségét, hogy valaki előbb feloldja az asztalt. A dokumentáció a különbség a javított szolgáltatás és a következő negyedévben újra elromló szolgáltatás között.
Ellenőrzött tiszta rendszerindításból tesztelj, ne bejelentkezés utáni kézi újrapróbálkozásból. Az újrapróbálkozás azért sikerül, amiért a rendszerindítási kísérlet meghiúsult, és pontosan ezt a bizonyítékot pusztítja el egy gyors teszt.