დისტანციური VPN რედაქტორი SSH-ით: რომელ მანქანას არედაქტირებთ?

X11 გადაცემა რედაქტორის ფანჯარას თქვენს ლეპტოპზე ათავსებს, პროცესი კი დისტანციურ ჰოსტზე გრძელდება. ეს ნაპრალი მთელი ხაფანგია: თქვენ უყურებთ ლოკალურ ფანჯარას და არედაქტირებთ დისტანციურ პროფილს, ხოლო არასწორი ვარაუდი იმის შესახებ, თუ რომელ მანქანას ეკუთვნის ცვლილება, შეიძლება გაჭრას ის SSH კავშირი, რომელზეც მუშაობთ. ქვემოთ მოცემული სია აფიქსირებს ჰოსტსა და პროფილს, სანამ რამე შეინახება. ყოველ ნაბიჯს აქვს გაჩერების პირობა, ამიტომ ადრეული მარცხი იაფია.

ნაბიჯი 1: დაასახელეთ მანქანა, რომელსაც პროფილი ეკუთვნის

გაუშვით იდენტიფიკაციის ბრძანებები იმ ჭურვში, რომლის კონფიგურირებასაც აპირებთ, და წაიკითხეთ პასუხი, ნაცვლად იმისა, რომ ის მოთხოვნიდან ივარაუდოთ. მოთხოვნაში ჰოსტის სახელი არის სტრიქონი, რომელიც თქვენმა ჭურვმა დაბეჭდა; ბირთვის ჰოსტის სახელია ის, რასაც ენდობა ამ სიის დარჩენილი ნაწილი. თუ ორივე არ ემთხვევა, არასწორ მანქანაზე ხართ ან მოთხოვნა თქვენი ლოკალური ჭურვით არის მორთული. გაჩერდით და ხელახლა დაუკავშირდით სასურველ ჰოსტს, სანამ გააგრძელებთ.

hostnamectl
hostname -f
ip -brief address

შემდეგი შეკითხვაა, უნდა ინახავდეს თუ არა ეს მანქანა საერთოდ VPN-ს. ლეპტოპის კლიენტის კონფიგურირება და დისტანციური ჰოსტის კლიენტის კონფიგურირება სხვადასხვა მარშრუტს, სხვადასხვა DNS-ს და სხვადასხვა მარცხის რეჟიმს იძლევა. გადაწყვიტეთ, რომელი გულისხმობთ, სანამ პროფილს შეეხებით, და ჩაწერეთ გადაწყვეტილება იქ, სადაც შემდეგი ადამიანი იპოვის.

ნაბიჯი 2: წაიკითხეთ პროფილი UUID-ით, და არა იარლიყით

NetworkManager კავშირს UUID-ით იდენტიფიცირებს, სახელი კი იარლიყია, რომლის რედაქტირებაც ან დუბლირებაც ნებისმიერს შეუძლია. ჩამოთვალეთ ორივე და შეადარეთ სწორედ ის ჩანაწერი, რომელიც ნამდვილად გინდათ, განსაკუთრებით იმ ჰოსტზე, სადაც წლების განმავლობაში რამდენიმე VPN პროფილი იქნა იმპორტირებული.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

შენახული ჩანაწერები და აქტიური კავშირები სხვადასხვა კითხვას პასუხობს: პირველი ჩამოთვლის, რაც არსებობს, მეორე — რაც ახლა გადააქვს ტრაფიკს. ნებართვების ხაზი აღწერს თქვენი სესიის ლოკალურ პოლიტიკას და არაფერს ამბობს იმაზე, მიიღებს თუ არა VPN კარიბჭე ანგარიშს. თუ საჭირო პროფილი შენახულ სიაში არ არის, აქ გაჩერდით, რადგან არასწორი ჩანაწერის რედაქტირება უარესია, ვიდრე საერთოდ არაფერი.

UUID-ის მიღების შემდეგ ჩადეთ იგი ცვლადში და გამოიყენეთ ეს ცვლადი ყველა მომდევნო ბრძანებაში. ეს აცილებს კოპირება-ჩასმის შეცდომების მთელ კლასს და ხდის ჩანაწერს განმეორებადს.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

ნაბიჯი 3: გადაწყვიტეთ, არის თუ არა გრაფიკული რედაქტორი სწორი ინსტრუმენტი

რედაქტორი, რომელსაც სჭირდება polkit-ის მოთხოვნა ან საიდუმლოების აგენტი, ვერ მიიღებს მას მხოლოდ იმიტომ, რომ მისი ფანჯარა თქვენს ლეპტოპზე გამოჩნდა. ეს კომპონენტები დისტანციური სესიის კონტექსტში მუშაობს და ეკრანის გადაცემა მათ არ გადასცემს. თუ რედაქტორმა ვერ შეინახა ავტორიზაციის ან საიდუმლოს შეცდომით, პრობლემა ეკრანი არ არის.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH X11 გადაცემას რთავს -X ით და ადასტურებს მას თანმდევ სიფრთხილეს: დისტანციურ ჰოსტს შეუძლია თქვენს ლოკალურ ეკრანზე მისვლა, რაც ნამდვილი ნდობის საზღვარია. სანდო გადაცემა -Y ით აშორებს ამ შემოწმებების ნაწილს და არასდროს უნდა იყოს რეფლექსური გადაწყვეტა აპლიკაციისთვის, რომელიც ნაგულისხმევ პარამეტრებში ვარდება. თუ თქვენი ორგანიზაცია აქვეყნებს დისტანციური ადმინისტრირების მეთოდს, გამოიყენეთ ის ვარიანტის გამოგონების ნაცვლად. უმეტეს შემთხვევაში ბრძანების ხაზის რედაქტორი უფრო პატარა ზედაპირია და უკეთესი პასუხი.

აქ გაჩერდით, თუ ერთადერთი მუშა გზა მოითხოვს -Y და ვერ ხსნით რატომ. ეს გადაწყვეტილება ეკუთვნის უსაფრთხოების პოლიტიკის მფლობელს და არ არის პირად სკრიპტში შესანახი შემოვლითი გზა.

ნაბიჯი 4: შეინარჩუნეთ აღდგენის გზა, სანამ რამეს გაააქტიურებთ

VPN-ის ცვლილებამ შეიძლება წაშალოს მარშრუტი, რომელზეც თქვენი SSH სესიაა დამოკიდებული, ამიტომ მოამზადეთ დაბრუნების გზა პროფილის გააქტიურებამდე. კონსოლზე წვდომა, ზოლგარე მართვის მისამართი ან დაგეგმილი უკუქცევა ყველა ითვლება; იმედი, რომ ცვლილება იმუშავებს, არ ითვლება.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

გაააქტიურეთ მხოლოდ სასურველი პროფილი, შემდეგ გადაამოწმეთ დისტანციური ჰოსტიდან: ნაგულისხმევი მარშრუტი, SSH-ის დაბრუნების გზა და ერთი რესურსი, რომელიც გვირაბით უნდა იყოს ხელმისაწვდომი. თქვენი ლეპტოპიდან წარმატებული შემოწმება ამოწმებს ლეპტოპის გზას და არაფერს ამბობს დისტანციურ ჰოსტზე. თუ სესია ჩავარდა, გამოიყენეთ აღდგენის გზა, ნაცვლად ბრმად ხელახლა დაკავშირებისა. პროფილის შენახვა გააქტიურება არ არის, ხოლო გააქტიურება — შემოწმება.

ჩაწერეთ UUID, შეცვლილი თვისებების მნიშვნელობები და ბრძანებები, რომლებითაც ისინი გადაამოწმეთ. შემდეგ ადამიანს, ვინც ამ ჰოსტს შეეხება, სამივე დასჭირდება, და ჩანაწერი უფრო ღირებულია, ვიდრე შეჯამება, რომ VPN შეკეთდა. სია, რომელიც უკუქცევის შენიშვნის გარეშე მთავრდება, ნახევარი სიაა.