Beri Setiap Akun VPN Peluncur NetworkManager Sendiri

Dua akun VPN, satu gateway, dan ikon desktop yang terhubung sebagai siapa pun yang terakhir memakainya. Penyebab biasanya adalah peluncur yang menulis ulang nama pengguna profil bersama tepat sebelum terhubung, atau yang mencari nama tampilan yang kebetulan dimiliki kedua profil. NetworkManager sudah membedakan profil berdasarkan UUID, jadi ikon dapat menyebut tepat satu di antaranya dan membiarkan identitasnya. Yang tidak boleh dibawanya adalah kata sandi.

Peluncur adalah penunjuk, bukan penyimpan kredensial.

Temukan UUID dan pastikan identitasnya

Daftar koneksi tersimpan dan baca UUID, ID koneksi, serta nama pengguna yang disimpan setiap profil. Pastikan profil mana milik akun mana sebelum membuat apa pun, karena nama tampilan adalah label, bukan kunci. Jika kedua akun membutuhkan gateway atau profil yang berbeda, itu tugas konfigurasi tersendiri.

Gunakan UUID di peluncur. Pencarian berdasarkan nama tampilan berfungsi sampai seseorang mengganti nama profil, lalu ikon terhubung sebagai akun yang salah atau sama sekali tidak terhubung.

Tulis entri desktop

Entri desktop membutuhkan tipe, nama, dan baris yang dapat dieksekusi. Perintah itu harus memunculkan UUID tersebut dan membiarkan NetworkManager meminta rahasianya, untuk itulah nmcli --ask connection up uuid .... Pertahankan Terminal=true agar permintaan terlihat saat rahasia dibutuhkan. Ganti placeholder dengan UUID yang benar-benar Anda amati, dan jangan menambahkan pembungkus shell hanya untuk menyembunyikan permintaan itu.

Spesifikasi Desktop Entry mendefinisikan Exec sebagai program beserta argumennya. Itu bukan skrip shell, dan tidak membutuhkannya.

Biarkan agen menyimpan rahasianya

Rahasia menjadi milik agen per pengguna, keyring, atau permintaan interaktif. Kata sandi di dalam Exec terlihat di daftar proses, di berkas desktop, dan di setiap tangkapan layar dialog properti. Jika profil membutuhkan rahasia, biarkan permintaan yang didukung mengumpulkannya dan agen mengingatnya untuk pengguna itu.

--ask memang interaktif secara desain. Itu bukan resep untuk otomatisasi tanpa pengawasan, dan tidak menjamin setiap tantangan autentikasi atau plugin dapat ditulis sebagai skrip sama sekali.

Jangan menjangkau sudo

Otorisasi untuk mengubah atau mengaktifkan koneksi adalah izin NetworkManager yang diberikan melalui kebijakannya, bukan hak istimewa Unix. Menjalankan peluncur dengan sudo tidak memberi proses itu keyring pengguna lain, dan tidak memperbaiki penolakan gateway. Pada mesin bersama, tinjau akun lokal mana yang dapat melihat profil mana dan siapa yang memiliki tiap rahasia; ikon terpisah tidak dengan sendirinya menciptakan isolasi.

Dua profil aktif untuk gateway yang sama juga dapat bersaing atas rute atau melanggar aturan konkurensi. Itu pertanyaan kebijakan, bukan bug peluncur.

Verifikasi seluruh tindakan

Aktifkan peluncur sekali dan pastikan tiga hal: UUID yang muncul, identitas yang dilihat gateway, dan apakah permintaan rahasia muncul di tempat yang Anda harapkan. Jika koneksi gagal, simpan pesan galat pertama. Menambahkan kata sandi ke baris perintah agar pintasan tampak mandiri menyembunyikan galat itu dan menciptakan masalah yang lebih buruk.

Tulis UUID dan pemetaan akun ke catatan tim. Orang berikutnya yang mengubah profil perlu tahu ikon mana yang bergantung padanya, dan catatan itulah yang mencegah penggantian nama menjadi gangguan.