nmcli biður aftur og aftur um VPN-lykilorðið: geymdu leyndarmálið staðbundið

Sama prófíll, tvö þing: hann tengist af skjáborðinu og hangir yfir SSH á beiðni sem ekkert getur svarað. Ekkert er í ólagi og engin stilling týndist. NetworkManager biður leyndarmálsumboð um auðkennið, og leyndarmálsumboð er skjáborðsíhlutur sem er ekki til í því þingi sem þú notar.

Keyrðu röðina hér að neðan og göngin koma upp án skjáviðmóts, með þeim fyrirvara að geymsla leyndarmáls breytir því hver getur notað prófílinn.

Staðfestu greininguna áður en þú breytir nokkru

Munurinn á gagnvirku og ógagnvirku virkjun er öll greiningin. Ef nmcli --ask connection up tekst þegar venjuleg virkjun stöðvast, er prófíllinn réttur og uppruni leyndarmálsins vantar. Þessi eina samanburður sparar þér að endurskrifa stillingu sem virkar.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Lestu flöggin í stað þess að giska á þau. Gildi sem þýða "spyrðu umboð" eru það sem þú ert að leita að, og nákvæm lykilanöfn eru mismunandi milli VPN-viðbóta því þau búa í eigin gagnorðabók viðbótarinnar. FortiSSL-prófíll og IPsec-prófíll nota ekki endilega sömu nöfn, svo vinna út frá úttaki þíns eigin prófíls.

Staðfestu líka að viðbótarpakkinn fyrir þetta samskiptareglu sé uppsettur. Viðbót sem vantar birtist sem óþekkt tegund tengingar eða sem virkjunarvilla sem segir ekkert um lykilorð, og að elta leyndarmálið í því ástandi eyðir sama klukkutímanum tvisvar. Ein pakkafyrirspurn er ódýrari en heill eftirmiðdagur í að breyta lykilskrám.

Færðu leyndarmálið inn í lykilskrána

Tengingarskráin býr undir /etc/NetworkManager/system-connections/. Leyndarmál eru ekki geymd þar sjálfgefið, og það er tilgangur flöggjanna sem þú lasst rétt í þessu. Að breyta flaggi í núll segir NetworkManager að gildið sé geymt með prófílnum í stað þess að vera beðið um við virkjun.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Fyrir prófíl með tveimur leyndarmálum endurtekst mynstrið: eitt flagg fyrir hvert leyndarmál í [vpn]-hlutanum, og gildin í [vpn-secrets]. IPsec-prófíll ber venjulega fyrirfram deildan lykil við hlið notandaauðkennisins, og viðbótin nefnir þau öðruvísi en venjulegan lykilorðsreit, svo afritaðu lykilanöfnin úr úttaki vpn.data frekar en úr bloggfærslu sem notaði aðra viðbót. Eitt rangt lykilanafn framleiðir prófíl sem hleðst og mistekst svo við auðkenningu, sem les eins og rangt lykilorð. Berðu skrána þína saman við virkan prófíl af sömu viðbót áður en þú tengist aftur.

Setja gildi sem innihalda bil, gæsalappir eða dollaramerki innan gæsalappa. Gildi án gæsalappa með $ í sér verður lesið bókstaflega eða stækkað eftir því hvar það er þáttað, og auðkenningarmistakið sem verður af því lítur út eins og rangt lykilorð.

Lagaðu svo eignarhald og stillingu skrárinnar. Þessar lykilskrár eru lesnar af forréttindum þjónustu, og skrá sem aðrir notendur geta lesið er talin óáreiðanleg, sem er venjulega ástæðan fyrir því að breyttur prófíll virðist vera hunsaður. Eigandi root, stilling 600, engar undantekningar.

Endurhlaða, svo virkja

Skráin er lesin þegar tengingin er hlaðin, svo að breyta henni er ekki nóg. Endurhlaða prófílunum og lyftu svo tengingunni sérstaklega.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Ef endurhleðslan nær ekki breytingunni, gerir full endurræsing þjónustunnar það, og til eru skýrslur um einmitt það. Veldu endurhleðslu þegar önnur tengsl skipta máli, því endurræsing þjónustunnar rýfur sérhverja stýrða tengingu, og á fjartengdum vél getur það endað þingið þitt áður en göngin sem þú vildir koma upp.

Notaðu UUID þegar nöfn eru margræð. Vélar með nokkra viðskiptavinaprófíla safna næstum tvíritum, og virkjun rangra framleiðir mistök sem líta út eins og vandamál með auðkenni.

Þegar geymda leyndarmálið er ekki vandamálið

FortiSSL-prófíll getur mistekist jafnvel með réttu geymdu auðkenni því biðlarinn treystir aldrei skírteini hliðsins. Þessi stilling er ekki í aðalglugganum; hún er bak við ítarlegri valkosti VPN, þar sem þáttur trausts skírteinis er færður inn. Ef annálin nefnir skírteinið í stað lykilorðsins, ertu í þessari grein og engin breyting á [vpn-secrets] hjálpar.

Hér eiga heima tvær athuganir enn. Staðfestu að prófíllinn hafi ekki verið fluttur inn úr skrá sem bendir enn á slóð sem viðbótin getur ekki lesið, og staðfestu að prófíllinn sé virkur en ekki úrelt tvírit. Báðar framleiða virkjunar mistök sem lesast eins og auðkenningarvillur.

Ákveddu hvort geymsla er ásættanleg

Geymt PSK og lykilorð eru læsileg af öllu sem keyrir sem root á þeirri vél. Á vél sem þú stýrir er það sanngjarnt skipti fyrir þjónustu án skjáviðmóts. Á sameiginlegri vél á það skilið samtal, því prófíllinn inniheldur nú auðkenni sem áður var varið af lyklakippu skjáborðsins. Spurðu hver annar getur náð root á þeirri vél áður en þú ákveður, ekki eftir að breytingin er komin í gagnið.

Ef stefna bannar geymslu VPN-leyndarmála skaltu ekki veikja prófílinn til að fá cron-verk til að virka. Keyrðu tenginguna úr þingi sem hefur umboð, eða notaðu aðra leið fyrir sjálfvirknina.

Að lokum skráðu hvaða prófílar bera leyndarmál svo enginn afriti einn í fartölvu án þess að taka eftir. Athugasemd yfir leyndarmálahlutanum með dagsetningunni og ástæðunni er nóg, og hún sparar einhverjum vandræðalega yfirferð síðar.