OpenVPN menunggu permintaan kata sandi systemd: haruskah Anda menjawabnya?

Pesan tentang systemd-tty-ask-password-agent muncul di terminal, dan tunnel tidak aktif. Bacaan yang menggoda adalah bahwa VPN menolak kata sandi dan sesuatu kini menunggu koreksi. Lebih tepat dikatakan bahwa sebuah layanan meminta masukan interaktif kepada systemd, dan permintaan itu belum dijawab. Layanan mana yang bertanya dan rahasia apa yang diinginkannya adalah dua pertanyaan yang bisa Anda selesaikan sebelum mengetik apa pun.

Dua kondisi menentukan siapa yang seharusnya menjawab

Kondisi pertama adalah apakah Anda memulai instans ini dengan sengaja. Permintaan yang menyusul tindakan Anda adalah milik Anda untuk dijawab, dan yang muncul tanpa tindakan yang cocok milik sesuatu yang lain. Kondisi kedua adalah apakah rahasianya autentikasi akun atau perlindungan kunci, karena keduanya hidup di tempat berbeda dan melewati jalur kode berbeda. Kedua jawaban terlihat di jurnal jika Anda melihat sebelum bertindak.

Ketika kedua jawaban jelas, keputusannya sederhana: jawab melalui jalur permintaan yang didukung milik layanan itu sendiri. Ketika salah satunya tidak jelas, langkah yang benar adalah menyelidiki, bukan mengetikkan kata sandi ke permintaan yang tidak dapat Anda kaitkan.

Itulah seluruh aturannya, dan layak dikatakan sebelum perintah-perintahnya. Semua yang di bawah mengikuti darinya.

Daftar permintaannya sebelum Anda mengetik apa pun

Agen dapat menghitung apa yang tertunda tanpa menjawab apa pun. sudo systemd-tty-ask-password-agent --list mencetak permintaan yang belum selesai, dan keluaran itu adalah bukti yang Anda butuhkan untuk menghubungkan permintaan dengan unit. Bacalah sebelum memberikan kredensial, dan jauhkan deskripsi permintaan dari setiap tempelan diagnostik publik.

Korelasikan daftar itu dengan operasi yang Anda mulai dan dengan unit yang memilikinya. Jika tidak ada yang cocok dengan tindakan Anda di daftar, permintaan yang Anda lihat milik layanan lain dan bukan tugas Anda untuk menyelesaikannya. Nama unit dalam daftar adalah satu-satunya tautan andal antara permintaan dan layanan.

Jangan menjawab permintaan yang tidak dapat Anda kaitkan. Biaya menunggu adalah keterlambatan, sedangkan biaya menjawab permintaan yang salah adalah kredensial di tempat yang salah.

Rahasia apa yang sebenarnya dibutuhkan instans ini?

auth-user-pass berkaitan dengan autentikasi akun ke layanan VPN, dan tanpa berkas kredensial perilaku yang didokumentasikan adalah bertanya di konsol. askpass sebagai gantinya memperoleh frasa sandi yang membuka materi kunci yang dilindungi, dan melakukannya sebelum proses beralih ke latar belakang. Itu rahasia berbeda dengan masa hidup berbeda.

Format berkasnya juga berbeda. Bentuk akun mengharapkan satu baris nama pengguna dan satu baris kata sandi, sedangkan berkas frasa sandi kunci membaca baris pertama sebagai kata sandinya. Menyalin resep berkas kredensial dari peran lain biasanya menghasilkan permintaan lain alih-alih solusi. Berkas dengan bentuk yang salah lebih buruk daripada tidak ada berkas, karena kegagalannya berpindah ke tempat yang tidak diawasi siapa pun.

Periksa direktif mana yang dipakai instans sebelum memutuskan apa yang akan diketik. Nama direktif memberi tahu Anda untuk rahasia mana permintaan itu.

Apa yang dilakukan --query yang tidak dilakukan --list

--query memproses setiap permintaan tertunda di terminal pemanggil, yang merupakan tindakan jauh lebih luas daripada menjawab satu permintaan. Ini bukan pemilih OpenVPN, dan di mesin yang sibuk ia dapat menjawab permintaan milik unit lain. Mode pantau bahkan lebih luas, karena terus menangani permintaan saat datang.

Gunakan mekanisme tersempit yang berfungsi. Untuk satu layanan, alur permintaan milik layanan itu lebih sempit daripada agen global, dan menjaga jawaban tetap terikat pada unit yang bertanya.

Mengubah permintaan sekali menjadi agen global tanpa pengawasan karena sebuah pemberitahuan muncul sekali adalah cara gangguan sementara menjadi desain permanen. Kehati-hatian yang sama berlaku untuk menonaktifkan unit pemberitahuan kata sandi di seluruh host.

Putuskan, lalu catat pilihannya

Untuk penerapan tanpa pengawasan, sepakati sumber kredensial, izin berkas, dan jadwal pembaruan dengan pemilik koneksi. Faktor kedua interaktif mungkin memerlukan orang atau identitas layanan khusus. Menekan permintaan tidak menghasilkan autentikasi itu, dan menghapus auth-user-pass hanya merusak layanan yang membutuhkannya.

Setelah interaksi, lihat instans yang sama untuk peristiwa berikutnya dan uji sumber daya privat. Jika tidak ada yang tertunda, kembalilah ke keadaan instans alih-alih memulai setiap unit OpenVPN di host.