Fjartengdur VPN-ritstjóri yfir SSH: hvaða vél ertu að breyta?

X11-framsending setur glugga ritstjórans á fartölvuna þína meðan ferlið heldur áfram að keyra á fjartengda hýsilnum. Þetta bil er alla gildruna: þú horfir á staðbundinn glugga og breytir fjartengdu sniði, og röng forsenda um hvaða vél á breytinguna getur skorið á SSH-tenginguna sem þú vinnur yfir. Gátlistinn hér að neðan festir hýsilinn og sniðið áður en nokkuð er vistað. Hvert skref hefur stöðvunarskilyrði, svo snemma bilun er ódýr.

Skref 1: nefndu vélina sem á sniðið

Keyrðu auðkennisskipanirnar í skelinni sem þú ætlar að stilla, og lestu svarið í stað þess að gera ráð fyrir því út frá kvaðningunni. Hýsilnafn í kvaðningu er strengur sem skelin þín prentaði; hýsilnafn kjarnans er það sem restin af þessum lista treystir. Ef þau tvö stangast á ertu á rangri vél eða kvaðningin er skreytt af staðbundinni skel þinni. Stoppaðu og tengdu aftur við ætlaða hýsilinn áður en þú heldur áfram.

hostnamectl
hostname -f
ip -brief address

Næsta spurning er hvort þessi vél eigi yfirhöfuð að hýsa VPN. Að stilla biðlarann á fartölvunni og að stilla biðlarann á fjartengda hýsilnum gefa mismunandi leiðir, mismunandi DNS og mismunandi bilunarhami. Ákveddu hvort þú átt við áður en þú snertir snið, og skrifaðu ákvörðunina niður þar sem næsti maður finnur hana.

Skref 2: lestu sniðið eftir UUID, ekki eftir merkimiða

NetworkManager auðkennir tengingu eftir UUID, en nafnið er merkimiði sem hver sem er getur breytt eða afritað. Listaðu hvort tveggja og paraðu færsluna sem þú meinar í raun, sérstaklega á hýsil þar sem nokkrum VPN-sniðum hefur verið flutt inn í gegnum árin.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Vistaðar færslur og virkar tengingar svara mismunandi spurningum: fyrri listinn sýnir hvað er til, seinni listinn sýnir hvað ber umferð núna. Heimildarlínan lýsir staðbundinni stefnu fyrir setuna þína og segir ekkert um hvort VPN-gáttin samþykki reikninginn. Ef sniðið sem þú þarft er ekki á vistuðum lista skaltu stoppa hér, því að breyta rangri færslu er verra en að breyta engu.

Þegar þú hefur UUID-ið skaltu setja það í breytu og nota þá breytu í hverri síðari skipun. Það fjarlægir heilan flokk af afritunar- og límivillum og gerir uppskriftina endurtakanlega.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Skref 3: ákveddu hvort grafískur ritstjóri sé rétta tólið

Ritstjóri sem þarf polkit-kvaðningu eða leyndarmálaumboð mun ekki fá hana bara vegna þess að glugginn hans birtist á fartölvunni þinni. Þessir hlutar keyra í samhengi fjartengdu setunnar, og framsending skjás sendir þá ekki áfram. Ef ritstjórinn getur ekki vistað vegna heimildar- eða leyndarmálsvillu, er skjárinn ekki vandamálið.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH kveikir á X11-framsendingu með -X og skjalfestir þá varúð sem fylgir: fjartengdi hýsilinn getur náð í staðbundinn skjá þinn, sem er raunveruleg traustmörk. Traust framsending með -Y fjarlægir hluta þessara athugana og ætti aldrei að vera viðbragðslausn fyrir forrit sem bregst undir sjálfgefnum stillingum. Ef stofnunin þín birtir aðferð við fjartengda stjórnun skaltu nota hana í stað þess að finna upp afbrigði. Í flestum tilvikum er skipanalínuritstjórinn minni vissi og betra svar.

Stoppaðu hér ef eina virka leiðin krefst -Y og þú getur ekki útskýrt hvers vegna. Það er ákvörðun fyrir þann sem á öryggisstefnuna, ekki hjáleið til að geyma í persónulegu skripti.

Skref 4: hafðu endurheimtarleið áður en þú virkjar nokkuð

VPN-breyting getur fjarlægt leiðina sem SSH-setan þín byggir á, svo stilltu upp leið til baka áður en þú virkjar sniðið. Aðgangur að stjórnborði, stjórnunarheimilisfang utan bands eða áætluð afturköllun teljast öll; vonin um að breytingin virki telst ekki.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Virkjaðu aðeins ætlaða sniðið og staðfestu síðan frá fjartengda hýsilnum: sjálfgefna leið, SSH-afturleið og eina auðlind sem ætti að vera aðgengileg um göngin. Árangursrík athugun frá fartölvunni þinni prófar leið fartölvunnar og segir ekkert um fjartengda hýsilinn. Ef setan dettur skaltu nota endurheimtarleiðina í stað þess að tengjast aftur blindandi. Að vista snið er ekki virkjun, og virkjun er ekki staðfesting.

Skráðu UUID-ið, eignargildin sem þú breyttir og skipanirnar sem þú notaðir til að staðfesta þau. Næsti maður sem snertir þennan hýsil þarf öll þrjú, og uppskrift er meira virði en samantekt sem segir að VPN-ið hafi verið lagað. Gátlisti sem endar án afturköllunarathugasemdar er hálfur listi.