Հեռավոր VPN խմբագրիչ SSH-ով. ո՞ր մեքենան եք խմբագրում։

X11 փոխանցումը խմբագրիչի պատուհանը դնում է ձեր նոթբուքում, մինչ գործընթացը շարունակում է աշխատել հեռավոր հոսթում։ Այդ ճեղքը հենց ողջ թակարդն է. դուք նայում եք տեղական պատուհանի և խմբագրում հեռավոր պրոֆիլ, և սխալ ենթադրությունը, թե որ մեքենան է տիրապետում փոփոխությանը, կարող է կտրել այն SSH կապը, որի վրայով աշխատում եք։ Ներքևի ստուգաթերթը ամրագրում է հոսթն ու պրոֆիլը նախքան որևէ բան պահելը։ Յուրաքանչյուր քայլ ունի կանգառի պայման, ուստի վաղ ձախողումը էժան է։

Քայլ 1. անվանեք այն մեքենան, որին պատկանում է պրոֆիլը

Գործարկեք նույնականացման հրամանները այն shell-ում, որը պատրաստվում եք կարգավորել, և կարդացեք պատասխանը՝ հուշումից ենթադրելու փոխարեն։ Հուշման մեջ գտնվող հոսթի անունը ձեր shell-ի տպած տողն է. միջուկի հոսթի անունն այն է, ինչին վստահում է այս ցանկի մնացած մասը։ Եթե երկուսը չեն համընկնում, դուք սխալ մեքենայի վրա եք, կամ հուշումը զարդարված է ձեր տեղական shell-ով։ Կանգ առեք և նորից միացեք նախատեսված հոսթին՝ շարունակելուց առաջ։

hostnamectl
hostname -f
ip -brief address

Հաջորդ հարցն այն է, թե արդյոք այս մեքենան ընդհանրապես պետք է պահի VPN-ը։ Նոթբուքի հաճախորդի կարգավորումը և հեռավոր հոսթի հաճախորդի կարգավորումը տալիս են տարբեր երթուղիներ, տարբեր DNS և տարբեր ձախողման եղանակներ։ Որոշեք, թե որն եք նկատի ունենում, նախքան պրոֆիլին դիպչելը, և որոշումը գրեք այնտեղ, որտեղ հաջորդ մարդը կգտնի այն։

Քայլ 2. կարդացեք պրոֆիլը UUID-ով, ոչ պիտակով

NetworkManager-ը միացումը նույնականացնում է UUID-ով, մինչդեռ անունը պիտակ է, որը ցանկացած ոք կարող է խմբագրել կամ կրկնօրինակել։ Թվարկեք երկուսն էլ և համապատասխանեցրեք այն գրառմանը, որը իրապես ցանկանում եք, հատկապես այն հոսթում, որտեղ տարիների ընթացքում ներմուծվել են մի քանի VPN պրոֆիլներ։

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Պահված գրառումն ու ակտիվ միացումները պատասխանում են տարբեր հարցերի. առաջինը թվարկում է այն, ինչ գոյություն ունի, երկրորդը՝ այն, ինչ հիմա տրաֆիկ է տանում։ Թույլտվությունների տողը նկարագրում է ձեր սեսիայի տեղական քաղաքականությունը և ոչինչ չի ասում այն մասին՝ արդյոք VPN դարպասը կընդունի հաշիվը։ Եթե ձեզ անհրաժեշտ պրոֆիլը պահված ցանկում չկա, կանգ առեք այստեղ, որովհետև սխալ գրառումը խմբագրելն ավելի վատ է, քան ընդհանրապես չխմբագրելը։

UUID-ն ստանալուց հետո դրեք այն փոփոխականի մեջ և օգտագործեք այդ փոփոխականը յուրաքանչյուր հաջորդ հրամանում։ Դա վերացնում է պատճենելու և տեղադրելու սխալների մի ամբողջ դաս և դարձնում արձանագրությունը վերարտադրելի։

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Քայլ 3. որոշեք՝ արդյոք գրաֆիկական խմբագրիչը ճիշտ գործիքն է

Խմբագրիչը, որին պետք է polkit հուշում կամ գաղտնիքների գործակալ, չի ստանա դրանք միայն այն պատճառով, որ իր պատուհանը հայտնվում է ձեր նոթբուքում։ Այդ բաղադրիչները աշխատում են հեռավոր սեսիայի համատեքստում, և էկրանի փոխանցումը դրանք չի փոխանցում։ Եթե խմբագրիչը չի կարողանում պահել լիազորման կամ գաղտնիքի սխալով, ապա խնդիրը էկրանը չէ։

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH-ը միացնում է X11 փոխանցումը -X ով և փաստագրում դրա հետ եկող զգուշությունը. հեռավոր հոսթը կարող է հասնել ձեր տեղական էկրանին, ինչը իսկական վստահության սահման է։ Վստահելի փոխանցումը -Y ով հեռացնում է այդ ստուգումների մի մասը և երբեք չպետք է լինի ռեֆլեքսային լուծում այն ծրագրի համար, որը ձախողվում է լռելյայն պայմաններում։ Եթե ձեր կազմակերպությունը հրապարակում է հեռավոր կառավարման մեթոդ, օգտագործեք այն՝ նոր տարբերակ հորինելու փոխարեն։ Շատ դեպքերում հրամանային տողի խմբագրիչը ավելի փոքր մակերես և ավելի լավ պատասխան է։

Կանգ առեք այստեղ, եթե միակ աշխատող ուղին -Y է պահանջում, և դուք չեք կարող բացատրել, թե ինչու։ Դա որոշում է անվտանգության քաղաքականության տիրոջ համար, ոչ թե անձնական սկրիպտում պահվող շրջանցում։

Քայլ 4. պահեք վերականգնման ուղի նախքան որևէ բան ակտիվացնելը

VPN փոփոխությունը կարող է հեռացնել այն երթուղին, որից կախված է ձեր SSH սեսիան, ուստի պրոֆիլը ակտիվացնելուց առաջ կազմակերպեք վերադարձի ուղի։ Կոնսոլի հասանելիությունը, արտագոտու կառավարման հասցեն կամ պլանավորված հետադարձը բոլորը հաշվի են առնվում. հույսը, թե փոփոխությունը կաշխատի, չի հաշվվում։

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Ակտիվացրեք միայն նախատեսված պրոֆիլը, ապա ստուգեք հեռավոր հոսթից. լռելյայն երթուղին, SSH վերադարձի ուղին և մեկ ռեսուրս, որը պետք է հասանելի լինի թունելով։ Ձեր նոթբուքից հաջող ստուգումը փորձարկում է նոթբուքի ուղին և ոչինչ չի ասում հեռավոր հոսթի մասին։ Եթե սեսիան ընկնում է, օգտագործեք վերականգնման ուղին՝ կույր նորից միանալու փոխարեն։ Պրոֆիլ պահելը ակտիվացում չէ, իսկ ակտիվացումը՝ ստուգում չէ.

Գրեք UUID-ն, փոփոխված հատկությունների արժեքները և այն հրամանները, որոնցով ստուգել եք դրանք։ Հաջորդ մարդուն, ով կդիպչի այս հոսթին, պետք կգան բոլոր երեքը, և արձանագրությունն ավելի արժեքավոր է, քան ամփոփումը, որն ասում է, թե VPN-ը վերանորոգվել է։ Ստուգաթերթը, որն ավարտվում է առանց հետադարձ նշումի, կիսատ ցանկ է։