Editor VPN jarak jauh lewat SSH: mesin mana yang Anda edit?

Penerusan X11 menaruh jendela editor di laptop Anda sementara prosesnya tetap berjalan di host jarak jauh. Celah itulah seluruh jebakannya: Anda melihat jendela lokal dan mengedit profil jarak jauh, dan asumsi keliru tentang mesin mana yang memiliki perubahan bisa memutus tautan SSH yang Anda gunakan. Daftar periksa di bawah menetapkan host dan profil sebelum apa pun disimpan. Setiap langkah punya syarat berhenti, jadi kegagalan awal murah.

Langkah 1: sebutkan mesin yang memiliki profil

Jalankan perintah identitas di shell yang akan Anda konfigurasi, dan baca jawabannya alih-alih menganggapnya dari prompt. Nama host di prompt adalah string yang dicetak shell Anda; nama host kernel adalah yang dipercaya oleh sisa daftar ini. Jika keduanya tidak cocok, Anda berada di mesin yang salah atau prompt dihiasi oleh shell lokal Anda. Berhenti dan sambungkan kembali ke host yang dimaksud sebelum melanjutkan.

hostnamectl
hostname -f
ip -brief address

Pertanyaan berikutnya adalah apakah mesin ini memang harus menyimpan VPN. Mengonfigurasi klien laptop dan mengonfigurasi klien host jarak jauh menghasilkan rute, DNS, dan mode kegagalan yang berbeda. Putuskan mana yang Anda maksud sebelum menyentuh profil, dan tuliskan keputusan itu di tempat orang berikutnya akan menemukannya.

Langkah 2: baca profil berdasarkan UUID, bukan label

NetworkManager mengidentifikasi koneksi berdasarkan UUID, sedangkan nama adalah label yang siapa pun bisa mengedit atau menduplikasinya. Daftarkan keduanya dan cocokkan entri yang benar-benar Anda maksud, terutama di host yang telah mengimpor beberapa profil VPN selama bertahun-tahun.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Entri tersimpan dan koneksi aktif menjawab pertanyaan berbeda: yang pertama mendaftar apa yang ada, yang kedua mendaftar apa yang sedang membawa lalu lintas. Baris izin menjelaskan kebijakan lokal untuk sesi Anda dan tidak mengatakan apa pun tentang apakah gateway VPN akan menerima akun. Jika profil yang Anda butuhkan tidak ada di daftar tersimpan, berhenti di sini, karena mengedit entri yang salah lebih buruk daripada tidak mengedit sama sekali.

Setelah Anda punya UUID, taruh di variabel dan gunakan variabel itu di setiap perintah berikutnya. Itu menghapus satu kelas kesalahan salin-tempel dan membuat transkrip dapat direproduksi.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Langkah 3: putuskan apakah editor grafis adalah alat yang tepat

Editor yang membutuhkan prompt polkit atau agen rahasia tidak akan mendapatkannya hanya karena jendelanya muncul di laptop Anda. Komponen itu berjalan dalam konteks sesi jarak jauh, dan meneruskan tampilan tidak meneruskannya. Jika editor gagal menyimpan dengan kesalahan otorisasi atau rahasia, tampilan bukanlah masalahnya.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH mengaktifkan penerusan X11 dengan -X dan mendokumentasikan kehati-hatian yang menyertainya: host jarak jauh dapat menjangkau tampilan lokal Anda, dan itu adalah batas kepercayaan yang nyata. Penerusan tepercaya dengan -Y menghapus sebagian pemeriksaan itu dan tidak boleh menjadi perbaikan refleks untuk aplikasi yang gagal dengan pengaturan default. Jika organisasi Anda menerbitkan metode administrasi jarak jauh, gunakan itu alih-alih menciptakan varian. Dalam banyak kasus editor baris perintah adalah permukaan yang lebih kecil dan jawaban yang lebih baik.

Berhenti di sini jika satu-satunya jalur yang berfungsi membutuhkan -Y dan Anda tidak bisa menjelaskan mengapa. Itu keputusan bagi pemilik kebijakan keamanan, bukan jalan pintas untuk disimpan di skrip pribadi.

Langkah 4: simpan jalur pemulihan sebelum Anda mengaktifkan apa pun

Perubahan VPN dapat menghapus rute yang menjadi dasar sesi SSH Anda, jadi siapkan jalan kembali sebelum mengaktifkan profil. Akses konsol, alamat manajemen out-of-band, atau rollback terjadwal semuanya dihitung; harapan bahwa perubahan itu berhasil tidak dihitung.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktifkan hanya profil yang dimaksud, lalu verifikasi dari host jarak jauh: rute default, jalur kembali SSH, dan satu sumber daya yang seharusnya dapat dijangkau melalui terowongan. Pemeriksaan yang berhasil dari laptop Anda menguji jalur laptop dan tidak mengatakan apa pun tentang host jarak jauh. Jika sesi putus, gunakan jalur pemulihan alih-alih menyambung ulang secara buta. Menyimpan profil bukanlah aktivasi, dan aktivasi bukanlah verifikasi.

Catat UUID, nilai properti yang Anda ubah, dan perintah yang Anda gunakan untuk memverifikasinya. Orang berikutnya yang menyentuh host ini akan membutuhkan ketiganya, dan transkrip lebih bernilai daripada ringkasan yang menyatakan VPN sudah diperbaiki. Daftar periksa yang berakhir tanpa catatan rollback adalah setengah daftar.