nmcli-ը շարունակում է պահանջել VPN գաղտնաբառը՝ պահեք գաղտնիքը տեղում

Նույն պրոֆիլը, երկու նիստ՝ այն միանում է աշխատասեղանից և SSH-ի միջոցով կախված է մնում հարցման վրա, որին ոչինչ չի կարող պատասխանել։ Ոչինչ կոտրված չէ և ոչ մի կարգավորում չի կորել։ NetworkManager-ը վավերագրությունը հարցնում է գաղտնիքի գործակալից, իսկ գաղտնիքի գործակալը աշխատասեղանի բաղադրիչ է, որը չկա ձեր օգտագործած նիստում։

Գործարկեք ստորև բերված հաջորդականությունը, և թունելը կբարձրանա առանց գրաֆիկական միջերեսի, այն վերապահումով, որ գաղտնիքը պահելը փոխում է, թե ով կարող է օգտագործել այդ պրոֆիլը։

Հաստատեք ախտորոշումը նախքան որևէ բան փոխելը

Ինտերակտիվ և ոչ ինտերակտիվ ակտիվացման միջև տարբերությունը ողջ ախտորոշումն է։ Եթե nmcli --ask connection up-ը հաջողվում է, մինչդեռ սովորական ակտիվացումը կանգ է առնում, պրոֆիլը ճիշտ է և գաղտնիքի աղբյուրը բացակայում է։ Այդ մեկ համեմատությունը փրկում է ձեզ աշխատող կազմաձևը վերաշարադրելուց։

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Կարդացեք դրոշները, փոխարենը գուշակելու։ «Հարցրու գործակալին» նշանակող արժեքներն են այն, ինչ փնտրում եք, և բանալիների ճշգրիտ անունները տարբերվում են VPN-ի հավելումների միջև, որովհետև դրանք ապրում են հավելման սեփական տվյալների բառարանում։ FortiSSL պրոֆիլը և IPsec պրոֆիլը պարտադիր չէ, որ օգտագործեն նույն անունները, ուստի աշխատեք ձեր սեփական պրոֆիլի ելքից։

Նաև հաստատեք, որ այդ արձանագրության հավելման փաթեթը տեղադրված է։ Բացակայող հավելումը երևում է որպես անհայտ միացման տեսակ կամ որպես ակտիվացման սխալ, որը ոչինչ չի ասում գաղտնաբառերի մասին, և այդ վիճակում գաղտնիքի հետևից ընկնելը նույն ժամը երկու անգամ վատնում է։ Մեկ փաթեթի հարցումն ավելի էժան է, քան բանալու ֆայլերի խմբագրման մի ամբողջ կեսօր։

Տեղափոխեք գաղտնիքը բանալու ֆայլ

Միացման ֆայլը գտնվում է /etc/NetworkManager/system-connections/-ի տակ։ Գաղտնիքներն այնտեղ լռելյայն չեն պահվում, և դա հենց ձեր նոր կարդացած դրոշների իմաստն է։ Դրոշը զրոյի փոխելը NetworkManager-ին ասում է, որ արժեքը պահվում է պրոֆիլի հետ, այլ ոչ թե հարցվում ակտիվացման պահին։

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Երկու գաղտնիք ունեցող պրոֆիլի համար օրինակը կրկնվում է՝ մեկ դրոշ յուրաքանչյուր գաղտնիքի համար [vpn] բաժնում, իսկ արժեքները՝ [vpn-secrets]-ում։ IPsec պրոֆիլը սովորաբար կրում է նախապես համօգտագործված բանալի օգտատիրոջ վավերագրության կողքին, և հավելումը դրանք այլ կերպ է անվանում, քան սովորական գաղտնաբառի դաշտը, ուստի բանալիների անունները պատճենեք vpn.data-ի ելքից, այլ ոչ այն բլոգային գրառումից, որն օգտագործել է այլ հավելում։ Մեկ սխալ բանալու անուն ստեղծում է պրոֆիլ, որը բեռնվում է և հետո ձախողվում նույնականացման ժամանակ, ինչը կարդացվում է ճիշտ սխալ գաղտնաբառի պես։ Նախքան նորից միանալը, համեմատեք ձեր ֆայլը նույն հավելման աշխատող պրոֆիլի հետ։

Չակերտների մեջ դրեք այն արժեքները, որոնք պարունակում են բացատներ, չակերտներ կամ դոլարի նշան։ Առանց չակերտի արժեքը, որում կա $, կկարդացվի բառացի կամ կընդլայնվի՝ կախված նրանից, թե որտեղ է վերլուծվում, և արդյունքում առաջացած նույնականացման ձախողումը նման է սխալ գաղտնաբառի։

Այնուհետև ուղղեք ֆայլի սեփականատիրությունը և ռեժիմը։ Այս բանալու ֆայլերը կարդում է արտոնյալ ծառայությունը, և այն ֆայլը, որը կարող են կարդալ այլ օգտատերեր, համարվում է անվստահելի, ինչը սովորական պատճառն է, թե ինչու խմբագրված պրոֆիլը կարծես անտեսվում է։ Սեփականատեր root, ռեժիմ 600, առանց բացառությունների։

Վերբեռնեք, ապա ակտիվացրեք

Ֆայլը կարդացվում է միացումը բեռնելիս, ուստի այն խմբագրելը բավարար չէ։ Վերբեռնեք պրոֆիլները և հետո բացահայտ բարձրացրեք միացումը։

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Եթե վերբեռնումը չի որսում փոփոխությունը, ապա ծառայության ամբողջական վերագործարկումը որսում է, և կան հենց այդպիսի հաղորդումներ։ Նախընտրեք վերբեռնումը, երբ այլ կապերն են կարևոր, որովհետև ծառայության վերագործարկումը խզում է յուրաքանչյուր կառավարվող միացում, և հեռավոր հոսթի վրա դա կարող է ավարտել ձեր նիստը նախքան ցանկալի թունելի բարձրանալը։

Օգտագործեք UUID-ն, երբ անունները երկիմաստ են։ Մի քանի հաճախորդային պրոֆիլ ունեցող մեքենաներում կուտակվում են գրեթե կրկնօրինակներ, և սխալի ակտիվացումը առաջացնում է ձախողում, որը նման է վավերագրության խնդրի։

Երբ պահված գաղտնիքը խնդիրը չէ

FortiSSL պրոֆիլը կարող է ձախողվել նույնիսկ ճիշտ պահված վավերագրության դեպքում, որովհետև հաճախորդը երբեք չի վստահում դարպասի վկայագրին։ Այդ կարգավորումը հիմնական երկխոսության մեջ չէ՝ այն VPN-ի լրացուցիչ ընտրանքների հետևում է, որտեղ մուտքագրվում է վստահելի վկայագրի ամփոփումը։ Եթե մատյանը հիշատակում է վկայագիրը, այլ ոչ գաղտնաբառը, դուք այս ճյուղում եք, և [vpn-secrets]-ի խմբագրման ոչ մի քանակություն չի օգնի։

Այստեղ պատկանում են ևս երկու ստուգում։ Հաստատեք, որ պրոֆիլը չի ներմուծվել մի ֆայլից, որը դեռ ցույց է տալիս մի ուղի, որը հավելումը չի կարող կարդալ, և հաստատեք, որ պրոֆիլը ակտիվն է, այլ ոչ հնացած կրկնօրինակ։ Երկուսն էլ առաջացնում են ակտիվացման ձախողումներ, որոնք կարդացվում են որպես նույնականացման սխալներ։

Որոշեք՝ արդյոք պահելը ընդունելի է

Պահված PSK-ն և գաղտնաբառը ընթեռնելի են այն ամենի համար, ինչ աշխատում է root-ով այդ մեքենայում։ Ձեր վերահսկած մեքենայում սա ողջամիտ փոխանակում է առանց գրաֆիկական միջերեսի ծառայության համար։ Համօգտագործվող հոսթում այն արժանի է զրույցի, որովհետև պրոֆիլը հիմա պարունակում է վավերագրություն, որը նախկինում պաշտպանված էր աշխատասեղանի բանալեպահով։ Նախքան որոշելը հարցրեք, թե ով ուրիշը կարող է հասնել root-ին այդ հոսթում, ոչ թե հետո, երբ փոփոխությունն արդեն տեղում է։

Եթե քաղաքականությունն արգելում է պահված VPN գաղտնիքները, մի թուլացրեք պրոֆիլը, որպեսզի cron առաջադրանքը աշխատի։ Գործարկեք միացումը գործակալ ունեցող նիստից, կամ օգտագործեք այլ մեխանիզմ ավտոմատացման համար։

Վերջապես, գրանցեք, թե որ պրոֆիլներն են կրում գաղտնիքներ, որպեսզի ոչ ոք չպատճենի մեկը նոութբուքի վրա առանց նկատելու։ Գաղտնիքների բաժնի վերևում ամսաթվով և պատճառով մեկնաբանությունը բավարար է, և դա հետագայում կփրկի ինչ-որ մեկին անհարմար վերանայումից։