OpenVPN bíður eftir lykilorðsbeiðni frá systemd: á að svara henni?

Skilaboð um systemd-tty-ask-password-agent birtast í skjáherminum og göngin eru ekki uppi. Hið freistandi lestur er að VPN hafi hafnað lykilorði og eitthvað bíði nú eftir leiðréttingu. Nákvæmara er að segja að þjónusta hafi beðið systemd um gagnvirka innslátt og að beiðninni hafi ekki verið svarað. Hvaða þjónusta bað og hvaða leyndarmál hún vill eru tvær spurningar sem þú getur leyst áður en þú skrifar nokkuð.

Tvö skilyrði ráða því hver á að svara

Fyrra skilyrðið er hvort þú ræstir þetta tilvik viljandi. Beiðni sem fylgir aðgerð sem þú tókst er þín að svara, og sú sem birtist án samsvarandi aðgerðar tilheyrir einhverju öðru. Seinna er hvort leyndarmálið sé auðkenning reiknings eða verndun lykils, því þau búa á ólíkum stöðum og ferðast um ólíka kóðaleiðir. Bæði svörin sjást í annálnum ef þú skoðar áður en þú breytir.

Þegar bæði svörin eru skýr er ákvörðunin einföld: svaraðu í gegnum eigin studda beiðnileið þjónustunnar. Þegar annað er óljóst er rétta skrefið að rannsaka í stað þess að slá lykilorði inn í beiðni sem þú getur ekki tileinkað.

Þetta er öll reglan, og það er þess virði að segja hana áður en skipanirnar koma. Allt hér fyrir neðan leiðir af henni.

Skráðu beiðnina áður en þú skrifar nokkuð

Agentinn getur talið upp hvað er í bið án þess að svara nokkru. sudo systemd-tty-ask-password-agent --list prentar beiðnirnar sem standa út, og sú úttak er sú sönnun sem þú þarft til að tengja beiðni við einingu. Lestu hana áður en þú veitir auðkenni, og haltu lýsingum beiðna utan við hvert opinbert greiningarinnslátt.

Tengdu listann við aðgerðina sem þú hófst og við eininguna sem á hana. Ef ekkert á listanum passar við aðgerð þína tilheyrir beiðnin sem þú sást annarri þjónustu og er ekki þín að leysa. Nafn einingarinnar á listanum er eina áreiðanlega tengingin milli beiðni og þjónustu.

Svaraðu ekki beiðni sem þú getur ekki tileinkað. Kostnaðurinn við að bíða er töf, en kostnaðurinn við að svara rangri beiðni er auðkenni á röngum stað.

Hvaða leyndarmál þarf tilvikið í raun?

auth-user-pass varðar auðkenningu reiknings við VPN-þjónustuna, og án auðkennisskráa er skráð hegðun að spyrja í stjórnborðinu. askpass fær hins vegar lykilsetninguna sem opnar verndað lykilefni, og gerir það áður en ferlið fer í bakgrunn. Þetta eru ólík leyndarmál með ólíkan líftíma.

Skráarsniðin eru líka ólík. Reikningssniðið býst við línu með notandanafni og línu með lykilorði, en lykilsetningarskráin les fyrstu línuna sem lykilorð sitt. Að afrita uppskrift auðkennisskráa frá hinu hlutverkinu framleiðir venjulega aðra beiðni í stað lausnar. Skrá með ranga lögun er verri en engin skrá, því bilunin flyst á stað sem enginn fylgist með.

Athugaðu hvaða tilskipun tilvikið notar áður en þú ákveður hvað á að slá inn. Nafn tilskipunarinnar segir þér fyrir hvaða leyndarmál beiðnin er.

Hvað --query gerir sem --list gerir ekki

--query vinnur úr hverri beiðni í bið á kallandi skjáhermi, sem er mun víðtækari aðgerð en að svara einni beiðni. Það er ekki OpenVPN-vali og á annasömum vélum getur það svarað beiðnum sem tilheyra öðrum einingum. Vöktunarhamur er enn víðtækari, því hann heldur áfram að meðhöndla beiðnir um leið og þær berast.

Notaðu þrengsta fyrirkomulagið sem virkar. Fyrir eina þjónustu er beiðniferli hennar þrengra en alþjóðlegur agentur, og það heldur svarinu tengdu einingunni sem bað.

Að breyta einni beiðni í ómannaðan alþjóðlegan agent vegna þess að tilkynning birtist einu sinni er leiðin sem tímabundin óþægindi verða að varanlegri hönnun. Sama varúð gildir um að slökkva á lykilorðstilkynningum eininga á öllum vélinni.

Ákveddu og skráðu svo valið

Fyrir ómannaða uppsetningu skaltu samþykkja uppruna auðkenna, skráarheimildir og endurnýjunardagskrá við þann sem á tenginguna. Gagnvirkur annar þáttur getur þurft einstakling eða sérhæfða þjónustusjálfsmynd. Að bæla beiðnina framleiðir ekki þá auðkenningu, og að fjarlægja auth-user-pass brýtur aðeins þjónustu sem þarf hana.

Eftir samskiptin skaltu skoða sama tilvik vegna næsta atburðar þess og prófa einkatilfangann. Ef ekkert er í bið skaltu snúa aftur í stöðu tilviksins í stað þess að ræsa hverja OpenVPN-einingu á vélinni.