nmcli მუდმივად ითხოვს VPN პაროლს: შეინახეთ საიდუმლო ლოკალურად

იგივე პროფილი, ორი სესია: ის სამუშაო მაგიდიდან უერთდება და SSH-ის მეშვეობით იჭედება მოთხოვნაზე, რომელზეც ვერაფერი უპასუხებს. არაფერი არ გატყდა და არც ერთი პარამეტრი არ დაიკარგა. NetworkManager რწმუნებას საიდუმლო აგენტისგან ითხოვს, საიდუმლო აგენტი კი სამუშაო მაგიდის კომპონენტია, რომელიც თქვენს მიერ გამოყენებულ სესიაში არ არსებობს.

გაუშვით ქვემოთ მოცემული მიმდევრობა და გვირაბი გრაფიკული ინტერფეისის გარეშე ამოვა, იმ დათქმით, რომ საიდუმლოს შენახვა ცვლის, ვის შეუძლია ამ პროფილის გამოყენება.

ნებისმიერი ცვლილების წინ დაადასტურეთ დიაგნოზი

ინტერაქტიულ და არაინტერაქტიულ გააქტიურებას შორის განსხვავება მთელი დიაგნოზია. თუ nmcli --ask connection up წარმატებულია, მაშინ როცა ჩვეულებრივი გააქტიურება ჩერდება, პროფილი სწორია და საიდუმლოს წყარო აკლია. ეს ერთი შედარება გიხსნით სამუშაო კონფიგურაციის გადაწერისგან.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

წაიკითხეთ დროშები და ნუ გამოიცნობთ მათ. მნიშვნელობა "ჰკითხე აგენტს" სწორედ ის არის, რასაც ეძებთ, და გასაღებების ზუსტი სახელები VPN დანამატებს შორის განსხვავდება, რადგან ისინი დანამატის საკუთარ მონაცემთა ლექსიკონში ცხოვრობენ. FortiSSL პროფილი და IPsec პროფილი სულაც არ იყენებენ ერთსა და იმავე სახელებს, ამიტომ იმუშავეთ საკუთარი პროფილის გამოსავლიდან.

ასევე დაადასტურეთ, რომ ამ პროტოკოლის დანამატის პაკეტი დაყენებულია. დაკარგული დანამატი უცნობი კავშირის ტიპად ან ისეთ გააქტიურების შეცდომად ჩანს, რომელიც პაროლებზე არაფერს ამბობს, და ამ მდგომარეობაში საიდუმლოს დევნა იმავე საათს ორჯერ კარგავს. ერთი პაკეტის მოთხოვნა იაფია, ვიდრე მთელი შუადღე გასაღების ფაილების რედაქტირებაში.

გადაიტანეთ საიდუმლო გასაღების ფაილში

კავშირის ფაილი /etc/NetworkManager/system-connections/-ის ქვეშაა. საიდუმლოებები იქ ნაგულისხმევად არ ინახება და ეს არის იმ დროშების აზრი, რომლებიც ახლახან წაიკითხეთ. დროშის ნულზე შეცვლა NetworkManager-ს ეუბნება, რომ მნიშვნელობა პროფილთან ერთად ინახება და არა გააქტიურების დროს ითხოვება.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

ორი საიდუმლოს მქონე პროფილისთვის ნიმუში მეორდება: ერთი დროშა თითოეულ საიდუმლოზე [vpn] განყოფილებაში, და მნიშვნელობები [vpn-secrets]-ში. IPsec პროფილი ჩვეულებრივ ატარებს წინასწარ გაზიარებულ გასაღებს მომხმარებლის რწმუნების გვერდით, და დანამატი მათ სხვანაირად ასახელებს, ვიდრე ჩვეულებრივ პაროლის ველს, ამიტომ გასაღებების სახელები დააკოპირეთ vpn.data-ის გამოსავლიდან და არა ბლოგიდან, რომელმაც სხვა დანამატი გამოიყენა. ერთი არასწორი გასაღების სახელი ქმნის პროფილს, რომელიც იტვირთება და შემდეგ ავთენტიფიკაციაზე ვარდება, რაც ზუსტად არასწორ პაროლს ჰგავს. სანამ ხელახლა დაუკავშირდებით, შეადარეთ თქვენი ფაილი იმავე დანამატის მუშა პროფილს.

ბრჭყალებში ჩასვით ის მნიშვნელობები, რომლებიც შეიცავს ჰარებს, ბრჭყალებს ან დოლარის ნიშანს. ბრჭყალების გარეშე მყოფი მნიშვნელობა, რომელშიც $ არის, წაიკითხება სიტყვასიტყვით ან გაფართოვდება იმის მიხედვით, სად ანალიზდება, და შედეგად მიღებული ავთენტიფიკაციის ჩავარდნა არასწორ პაროლს ჰგავს.

შემდეგ გაასწორეთ ფაილის მფლობელობა და რეჟიმი. ამ გასაღების ფაილებს პრივილეგირებული სერვისი კითხულობს, და ფაილი, რომლის წაკითხვაც სხვა მომხმარებლებს შეუძლიათ, არასანდოდ ითვლება, რაც ჩვეულებრივი მიზეზია იმისა, რომ რედაქტირებული პროფილი უგულებელყოფილად ჩანს. მფლობელი root, რეჟიმი 600, გამონაკლისების გარეშე.

თავიდან ჩატვირთეთ, შემდეგ გაააქტიურეთ

ფაილი იკითხება კავშირის ჩატვირთვისას, ამიტომ მისი რედაქტირება საკმარისი არ არის. თავიდან ჩატვირთეთ პროფილები და შემდეგ ცხადად ასწიეთ კავშირი.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

თუ თავიდან ჩატვირთვა ცვლილებას არ იჭერს, სერვისის სრული გადატვირთვა იჭერს, და ამის შესახებ ზუსტად ასეთი ცნობები არსებობს. უპირატესობა მიანიჭეთ თავიდან ჩატვირთვას, როცა სხვა კავშირები მნიშვნელოვანია, რადგან სერვისის გადატვირთვა წყვეტს ყველა მართულ კავშირს, და დისტანციურ ჰოსტზე ამან შეიძლება თქვენი სესია დაასრულოს სანამ სასურველი გვირაბი ამოვა.

გამოიყენეთ UUID, როცა სახელები ორაზროვანია. მანქანებში, რომლებსაც რამდენიმე მომხმარებლის პროფილი აქვთ, თითქმის-დუბლიკატები გროვდება, და არასწორის გააქტიურება იწვევს ჩავარდნას, რომელიც რწმუნების პრობლემას ჰგავს.

როცა შენახული საიდუმლო პრობლემა არ არის

FortiSSL პროფილი შეიძლება ჩავარდეს სწორი შენახული რწმუნების შემთხვევაშიც, რადგან კლიენტი არასდროს ენდობა კარიბჭის სერტიფიკატს. ეს პარამეტრი მთავარ დიალოგში არ არის; ის VPN-ის გაფართოებული პარამეტრების უკანაა, სადაც სანდო სერტიფიკატის დაიჯესტი შეიტანება. თუ ჟურნალი პაროლის ნაცვლად სერტიფიკატს ახსენებს, ამ შტოზე ხართ და [vpn-secrets]-ის რედაქტირების არც ერთი რაოდენობა არ დაეხმარება.

აქ კიდევ ორი შემოწმება მიეკუთვნება. დაადასტურეთ, რომ პროფილი არ არის იმპორტირებული ფაილიდან, რომელიც ჯერ კიდევ იმ გზაზე მიუთითებს, რომელსაც დანამატი ვერ წაიკითხავს, და დაადასტურეთ, რომ პროფილი აქტიურია და არა მოძველებული დუბლიკატი. ორივე ქმნის გააქტიურების ჩავარდნას, რომელიც ავთენტიფიკაციის შეცდომად იკითხება.

გადაწყვიტეთ, მისაღებია თუ არა შენახვა

შენახული PSK და პაროლი წაკითხვადია ყველასთვის, რაც ამ მანქანაზე root-ად მუშაობს. იმ მანქანაზე, რომელსაც თქვენ აკონტროლებთ, ეს გონივრული გაცვლაა გრაფიკული ინტერფეისის გარეშე სერვისისთვის. საერთო ჰოსტზე ეს საუბარს იმსახურებს, რადგან პროფილი ახლა შეიცავს რწმუნებას, რომელიც ადრე სამუშაო მაგიდის გასაღების ბეჭდით იყო დაცული. გადაწყვეტამდე ჰკითხეთ, ვის შეუძლია ამ ჰოსტზე root-ზე მისვლა და არა მას შემდეგ, რაც ცვლილება უკვე ადგილზეა.

თუ პოლიტიკა კრძალავს VPN საიდუმლოების შენახვას, ნუ შეასუსტებთ პროფილს იმისთვის, რომ cron დავალება იმუშაოს. გაუშვით კავშირი სესიიდან, რომელსაც აგენტი აქვს, ან ავტომატიზაციისთვის სხვა მექანიზმი გამოიყენეთ.

ბოლოს, ჩაწერეთ რომელი პროფილები ატარებენ საიდუმლოებს, რათა არავინ გადააკოპიროს ერთი ლეპტოპზე შეუმჩნევლად. საიდუმლოების განყოფილების ზემოთ კომენტარი თარიღითა და მიზეზით საკმარისია, და მოგვიანებით ვიღაცას უხერხული გადახედვისგან იხსნის.