nmcli VPN құпиясөзін үнемі сұрайды: құпияны жергілікті сақтаңыз

Бірдей профиль, екі сеанс: ол жұмыс үстелінен қосылады, ал SSH арқылы ешнәрсе жауап бере алмайтын сұраныста ілініп қалады. Ешнәрсе бұзылмаған және бірде-бір параметр жоғалмаған. NetworkManager тіркелгі дерегін құпия агентінен сұрап отыр, ал құпия агенті — сіз пайдаланып отырған сеанста жоқ жұмыс үстелінің құрамдасы.

Төмендегі ретті орындаңыз, туннель графикалық интерфейссіз көтеріледі, бірақ құпияны сақтау ол профильді кім пайдалана алатынын өзгертетінін ескеріңіз.

Бірдеңені өзгертудің алдында диагнозды растаңыз

Интерактивті және интерактивті емес белсендірудің айырмашылығы — бүкіл диагноз. Егер nmcli --ask connection up сәтті болып, қарапайым белсендіру тоқтап қалса, профиль дұрыс және құпияның көзі жоқ. Осы бір салыстыру сізді жұмыс істеп тұрған конфигурацияны қайта жазудан сақтайды.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Жалаушаларды болжамай, оқыңыз. "Агенттен сұра" дегенді білдіретін мәндер — сіз іздеп жүрген нәрсе, ал кілт атаулары VPN қосымшалары арасында әртүрлі, өйткені олар қосымшаның өз деректер сөздігінде тұрады. FortiSSL профилі мен IPsec профилі міндетті түрде бірдей атауларды пайдаланбайды, сондықтан өз профиліңіздің шығысымен жұмыс істеңіз.

Сондай-ақ сол протоколға арналған қосымша бумасының орнатылғанын растаңыз. Жоқ қосымша белгісіз қосылым түрі ретінде немесе құпиясөздер туралы ештеңе айтпайтын белсендіру қатесі ретінде көрінеді, ал сол күйде құпияның соңынан қуу сол бір сағатты екі рет ысырап етеді. Бір бума сұрауы бүкіл түстен кейінгі кілт файлдарын өңдеуден арзан.

Құпияны кілт файлына көшіріңіз

Қосылым файлы /etc/NetworkManager/system-connections/ астында орналасқан. Құпиялар онда әдепкіде сақталмайды, және жаңа оқыған жалаушаларыңыздың мәні осы. Жалаушаны нөлге өзгерту NetworkManager-ге мән профильмен бірге сақталатынын, белсендіру кезінде сұралмайтынын айтады.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Екі құпиясы бар профиль үшін үлгі қайталанады: [vpn] бөлімінде әр құпияға бір жалауша, ал мәндер [vpn-secrets] ішінде. IPsec профилі әдетте пайдаланушы тіркелгі дерегінің қасында алдын ала ортақтасқан кілтті алып жүреді, және қосымша оларды кәдімгі құпиясөз өрісінен өзгеше атайды, сондықтан кілт атауларын vpn.data шығысынан көшіріңіз, басқа қосымша қолданған блог жазбасынан емес. Бір кілт атауы қате болса, жүктелетін, содан кейін аутентификацияда құлайтын профиль пайда болады, ол дәл қате құпиясөз сияқты оқылады. Қайта қосылудың алдында файлыңызды сол қосымшаның жұмыс істеп тұрған профилімен салыстырыңыз.

Бос орын, тырнақша немесе доллар белгісі бар мәндерді тырнақшаға алыңыз. Ішінде $ бар тырнақшасыз мән қай жерде талданатынына қарай сөзбе-сөз оқылады немесе кеңейтіледі, ал соның салдарынан болған аутентификация қатесі қате құпиясөзге ұқсайды.

Содан кейін файлдың иелігі мен режимін түзетіңіз. Бұл кілт файлдарын артықшылықты қызмет оқиды, ал басқа пайдаланушылар оқи алатын файл сенімсіз деп саналады, бұл өңделген профильдің еленбегендей көрінуінің әдеттегі себебі. Иесі root, режим 600, ешқандай ерекшелік жоқ.

Қайта жүктеңіз, содан кейін белсендіріңіз

Файл қосылым жүктелген кезде оқылады, сондықтан оны өңдеу жеткіліксіз. Профильдерді қайта жүктеп, содан кейін қосылымды анық көтеріңіз.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Егер қайта жүктеу өзгерісті қабылдамаса, қызметті толық қайта іске қосу қабылдайды, және дәл осы туралы есептер бар. Басқа байланыстар маңызды болғанда қайта жүктеуді таңдаңыз, өйткені қызметті қайта іске қосу әрбір басқарылатын қосылымды үзеді, ал қашықтағы хостта бұл керекті туннель көтерілмей тұрғанда сеансыңызды аяқтауы мүмкін.

Атаулар екіұшты болғанда UUID пайдаланыңыз. Бірнеше тұтынушы профилі бар машиналарда дерлік-көшірмелер жинақталады, ал қатесін белсендіру тіркелгі дерегі мәселесіне ұқсайтын сәтсіздік тудырады.

Сақталған құпия мәселе болмаған кезде

FortiSSL профилі дұрыс сақталған тіркелгі дерегімен де сәтсіз болуы мүмкін, өйткені клиент шлюз сертификатына ешқашан сенбейді. Бұл параметр негізгі диалогта емес; ол VPN-ның қосымша опцияларының артында, сенімді сертификаттың дайджесі енгізілетін жерде. Егер журнал құпиясөздің орнына сертификатты атаса, сіз осы тармақтасыз және [vpn-secrets] өңдеудің ешбір мөлшері көмектеспейді.

Бұл жерге тағы екі тексеру жатады. Профильдің қосымша оқи алмайтын жолға әлі де сілтеме жасайтын файлдан импортталмағанын растаңыз және профильдің белсенді екенін, ескірген көшірме еместігін растаңыз. Екеуі де аутентификация қатесі сияқты оқылатын белсендіру сәтсіздігін тудырады.

Сақтауға бола ма, жоқ па — шешіңіз

Сақталған PSK мен құпиясөзді сол машинада root ретінде жұмыс істейтін кез келген нәрсе оқи алады. Өзіңіз бақылайтын машинада бұл графикалық интерфейссіз қызмет үшін ақылға қонымды айырбас. Ортақ хостта бұл әңгімеге тұрарлық, өйткені профильде енді бұрын жұмыс үстелінің кілт сақинасымен қорғалған тіркелгі дерегі бар. Шешім қабылдамас бұрын сол хостта root-қа тағы кім жете алатынын сұраңыз, өзгеріс орнына келгеннен кейін емес.

Егер саясат VPN құпияларын сақтауға тыйым салса, cron тапсырмасы жұмыс істеуі үшін профильді әлсіретпеңіз. Қосылымды агенті бар сеанстан іске қосыңыз немесе автоматтандыру үшін басқа механизм қолданыңыз.

Соңында, қандай профильдер құпия алып жүретінін жазып қойыңыз, сонда ешкім байқамай біреуін ноутбукке көшірмейді. Құпиялар бөлімінің үстінде күні мен себебі көрсетілген түсініктеме жеткілікті, және ол кейінірек біреуді ыңғайсыз қараудан сақтайды.