OpenVPN が systemd のパスワード要求を待っています：答えるべきですか？

ターミナルに systemd-tty-ask-password-agent についてのメッセージが表示され、トンネルが起動していません。魅力的な読み方は、VPN がパスワードを拒否し、何かが修正を待っているというものです。より正確には、あるサービスが systemd にインタラクティブな入力を求めており、その要求はまだ答えられていない、ということです。どのサービスが尋ねたのか、どの秘密情報を求めているのかは、何かを入力する前に決着できる二つの問いです。

誰が答えるべきかは二つの条件で決まります

第一の条件は、このインスタンスを意図して起動したかどうかです。あなたが行った操作に続く要求はあなたが答えるものであり、対応する操作なしに現れた要求は別の何かに属します。第二は、秘密情報がアカウント認証なのか鍵の保護なのかです、これらは別の場所にあり、別のコード経路を通るからです。行動する前に見れば、どちらの答えもジャーナルに現れます。

両方の答えが明確なら判断は単純です：そのサービス自身がサポートするプロンプト経路で答えてください。どちらかが不明確なら、正しい動きは調査することであり、帰属できないプロンプトにパスワードを打ち込むことではありません。

これが規則のすべてであり、コマンドの前に述べておく価値があります。以下のすべてはここから導かれます。

何かを入力する前に要求を一覧にしてください

エージェントは何にも答えずに、保留中のものを列挙できます。sudo systemd-tty-ask-password-agent --list は未処理の要求を出力し、その出力がプロンプトをユニットに結びつけるために必要な証拠です。資格情報を渡す前にこれを読み、要求の説明は公開の診断用貼り付けに含めないでください。

一覧を、開始した操作とそれを所有するユニットに対応づけてください。一覧のどれもあなたの操作と一致しないなら、目にしたプロンプトは別のサービスに属し、あなたが解くべきものではありません。一覧のユニット名が、プロンプトとサービスの間の唯一の信頼できる結びつきです。

帰属できない要求には答えないでください。待つコストは遅延ですが、誤ったプロンプトに答えるコストは誤った場所に置かれた資格情報です。

インスタンスが実際に必要とする秘密情報はどれですか？

auth-user-pass は VPN サービスへのアカウント認証に関わり、資格情報ファイルがなければ文書化された動作はコンソールで尋ねることです。askpass は代わりに、保護された鍵素材を解錠するパスフレーズを取得し、それをプロセスがデーモン化する前に行います。これらは寿命の異なる別の秘密情報です。

ファイル形式も異なります。アカウント形式はユーザー名の行とパスワードの行を想定し、鍵のパスフレーズファイルは最初の行をパスワードとして読みます。もう一方の役割の資格情報ファイルの手順を流用すると、解決ではなく別のプロンプトが生まれるのが普通です。形の違うファイルは、失敗が見張られていない場所へ移るため、ファイルがないより悪い状態です。

何を入力するかを決める前に、インスタンスがどのディレクティブを使っているかを確認してください。ディレクティブ名が、プロンプトがどの秘密情報のためのものかを教えてくれます。

--query がすること、--list がしないこと

--query は呼び出したターミナル上の保留中の要求をすべて処理しますが、それは一つのプロンプトに答えるよりはるかに広い行為です。OpenVPN のセレクターではなく、多忙なマシンでは他のユニットに属する要求に答えてしまうことがあります。監視モードはさらに広く、要求が届くたびに処理を続けます。

機能する最も狭い仕組みを使ってください。単一のサービスなら、そのサービス自身のプロンプト手順はグローバルなエージェントより狭く、答えを尋ねたユニットに結びつけたままにします。

一度通知が出たというだけで一度きりの要求を無人運用のグローバルエージェントに変えることは、一時的な迷惑が恒久的な設計になる道です。ホスト全体でパスワード通知ユニットを無効化する場合も同じ注意が当てはまります。

決めてから、選択を記録してください

無人運用の配備なら、接続の所有者と資格情報の出所、ファイルの権限、更新の予定を合意してください。対話的な第二要素は人か専用のサービス識別子を必要とすることがあります。プロンプトを抑えてもその認証は生まれず、auth-user-pass を外すことはそれを必要とするサービスを壊すだけです。

やり取りの後、同じインスタンスの次のイベントを確認し、プライベートなリソースを試してください。保留中のものが何もなければ、ホスト上のすべての OpenVPN ユニットを起動するのではなく、インスタンスの状態に戻ってください。