OpenVPN systemd-тің құпия сөз сұранысын күтіп тұр: жауап беру керек пе?

Терминалда systemd-tty-ask-password-agent туралы хабарлама пайда болады, ал туннель көтерілмеген. Еліктіргіш түсінік — VPN құпия сөзді қабылдамады және қазір бірдеңе түзетуді күтіп тұр. Дәлірек айтсақ, қызмет systemd-тен интерактивті енгізу сұрады және сұранысқа әлі жауап берілмеді. Қай қызмет сұрады және қандай құпия керек — бұл екі сұрақты кез келген нәрсені теруден бұрын шешуге болады.

Кім жауап беруі керегін екі шарт анықтайды

Бірінші шарт — бұл дананы әдейі іске қостыңыз ба. Сіздің әрекетіңізден кейін келетін сұраныс — сіздікі, ал сәйкес әрекетсіз пайда болатын сұраныс басқа нәрсеге тиесілі. Екіншісі — құпия тіркелгі аутентификациясы ма әлде кілтті қорғау ма, өйткені олар түрлі жерде тұрады және түрлі код жолдарымен жүреді. Әрекет етпес бұрын қарасаңыз, екі жауап та журналда көрінеді.

Екі жауап та айқын болса, шешім қарапайым: қызметтің өзінің қолдайтын сұраныс жолы арқылы жауап беріңіз. Біреуі айқын болмаса, дұрыс қадам — тексеру, ал өзіңізге тели алмайтын сұранысқа құпия сөз теру емес.

Осы — бүкіл ереже, және оны командалардан бұрын айтуға тұрарлық. Төмендегінің бәрі осыдан туындайды.

Бірдеңе теруден бұрын сұранысты тізімдеңіз

Агент ешнәрсеге жауап бермей-ақ күтіп тұрғанды санамалай алады. sudo systemd-tty-ask-password-agent --list қалған сұраныстарды басып шығарады, және бұл шығыс — сұранысты бірлікке байланыстыру үшін керек дәлел. Оны тіркелу деректерін беруден бұрын оқып шығыңыз және сұраныс сипаттамаларын кез келген ашық диагностикалық қоюдан тыс ұстаңыз.

Тізімді сіз бастаған операциямен және оған иелік ететін бірлікпен байланыстырыңыз. Тізімде ешнәрсе сіздің әрекетіңізге сәйкес келмесе, көрген сұранысыңыз басқа қызметке тиесілі және оны шешу сіздің міндетіңіз емес. Тізімдегі бірлік атауы — сұраныс пен қызмет арасындағы жалғыз сенімді байланыс.

Өзіңізге тели алмайтын сұранысқа жауап бермеңіз. Күтудің құны — кідіріс, ал қате сұранысқа жауап берудің құны — дұрыс емес жердегі тіркелу деректері.

Данаға шын мәнінде қандай құпия керек?

auth-user-pass VPN қызметіне тіркелгі аутентификациясына қатысты, ал тіркелу деректерінің файлы жоқ болса, құжатталған мінез-құлық — консольде сұрау. askpass оның орнына қорғалған кілт материалын ашатын құпия сөз тіркесін алады және мұны үдеріс фонға өтпес бұрын жасайды. Бұлар — әртүрлі өмірлік мерзімі бар әртүрлі құпиялар.

Файл форматтары да өзгеше. Тіркелгі пішімі пайдаланушы атының жолы мен құпия сөздің жолын күтеді, ал кілттің құпия сөз тіркесі файлы бірінші жолды өз құпия сөзі ретінде оқиды. Басқа рөлдегі тіркелу деректері файлының рецептін көшіру әдетте шешімнің орнына тағы бір сұраныс тудырады. Пішімі қате файл файлдың жоқтығынан жаман, өйткені ақау ешкім бақыламайтын жерге көшеді.

Не теретініңізді шешпес бұрын дананың қай директиваны пайдаланатынын тексеріңіз. Директива атауы сұраныстың қай құпияға арналғанын айтады.

--query не істейді, --list не істемейді

--query шақырған терминалдағы әрбір күтіп тұрған сұранысты өңдейді, бұл бір сұранысқа жауап беруден әлдеқайда кең әрекет. Ол OpenVPN селекторы емес және бос емес машинада басқа бірліктерге тиесілі сұраныстарға жауап беруі мүмкін. Бақылау режимі одан да кең, өйткені сұраныстар келген сайын оларды өңдеуді жалғастырады.

Жұмыс істейтін ең тар механизмді пайдаланыңыз. Бір қызмет үшін сол қызметтің өз сұраныс ағыны жаһандық агенттен тар және жауапты сұраған бірлікке байланыстырып ұстайды.

Бір рет хабарлама шыққанына байланысты біржолғы сұранысты қадағалаусыз жаһандық агентке айналдыру — уақытша қолайсыздықтың тұрақты дизайнға айналатын жолы. Дәл сол сақтық хост бойынша құпия сөз хабарламасының бірліктерін өшіруге де қатысты.

Шешім қабылдаңыз, содан кейін таңдауды жазыңыз

Қадағалаусыз орналастыру үшін байланыс иесімен тіркелу деректерінің көзін, файл рұқсаттарын және жаңарту кестесін келісіңіз. Интерактивті екінші факторға адам немесе арнайы қызмет сәйкестігі қажет болуы мүмкін. Сұранысты басу сол аутентификацияны тудырмайды, ал auth-user-pass-ті жою оны қажет ететін қызметті ғана бұзады.

Әрекеттесуден кейін сол дананы оның келесі оқиғасы үшін қарап, жеке ресурсты сынап көріңіз. Күтіп тұрған ештеңе болмаса, хосттағы әрбір OpenVPN бірлігін іске қосудың орнына дана күйіне оралыңыз.