nmcli VPN сырсөзүн тынымсыз сурайт: сырды жергиликтүү сактаңыз

Бир эле профиль, эки сессия: ал иш тактадан туташат, ал эми SSH аркылуу эч нерсе жооп бере албаган суроодо илинип калат. Эч нерсе бузулган жок жана бир да параметр жоголгон жок. NetworkManager катышуу дарегин сыр агентинен сурап жатат, ал эми сыр агенти — сиз колдонуп жаткан сессияда жок иш тактанын компоненти.

Төмөнкү ырааттуулукту аткарыңыз, туннель графикалык интерфейссиз көтөрүлөт, бирок сырды сактоо ошол профилди ким колдоно аларын өзгөртөт.

Бир нерсени өзгөртүүдөн мурун диагнозду ырастаңыз

Интерактивдүү жана интерактивдүү эмес активдештирүүнүн айырмасы — бүт диагноз. Эгер nmcli --ask connection up ийгиликтүү болуп, жөнөкөй активдештирүү токтоп калса, профиль туура жана сырдын булагы жок. Ошол бир салыштыруу сизди иштеп жаткан конфигурацияны кайра жазуудан сактайт.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Желекчелерди божомолдобой, окуңуз. "Агенттен сура" дегенди билдирген маанилер — сиз издеп жаткан нерсе, ал эми ачкыч аттары VPN кошумчаларынын ортосунда ар башка, анткени алар кошумчанын өзүнүн маалымат сөздүгүндө жашайт. FortiSSL профили менен IPsec профили сөзсүз бирдей аттарды колдонбойт, ошондуктан өз профилиңиздин чыгышы менен иштеңиз.

Ошондой эле ошол протокол үчүн кошумча пакети орнотулганын ырастаңыз. Жок кошумча белгисиз туташуу түрү катары же сырсөздөр тууралуу эч нерсе айтпаган активдештирүү катасы катары көрүнөт, ал эми ошол абалда сырдын артынан түшүү ошол эле саатты эки жолу текке кетирет. Бир пакет суроосу бүт түштөн кийинки ачкыч файлдарын оңдоодон арзан.

Сырды ачкыч файлына жылдырыңыз

Туташуу файлы /etc/NetworkManager/system-connections/ астында жайгашкан. Сырлар ал жерде демейки боюнча сакталбайт, жана сиз азыр окуган желекчелердин мааниси ушунда. Желекчени нөлгө өзгөртүү NetworkManager-ге маани профиль менен бирге сакталарын, активдештирүү убагында суралбастыгын айтат.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Эки сыры бар профиль үчүн үлгү кайталанат: [vpn] бөлүмүндө ар бир сыр үчүн бир желекче, ал эми маанилер [vpn-secrets] ичинде. IPsec профили адатта колдонуучунун катышуу дарегинин жанында алдын ала бөлүшүлгөн ачкычты алып жүрөт, жана кошумча аларды кадимки сырсөз талаасынан башкача атайт, ошондуктан ачкыч аттарын vpn.data чыгышынан көчүрүңүз, башка кошумча колдонгон блог жазмасынан эмес. Бир ачкыч аты туура эмес болсо, жүктөлүп, анан аутентификацияда ийгиликсиз болгон профиль пайда болот, ал дал туура эмес сырсөз сыяктуу окулат. Кайра туташуудан мурун файлыңызды ошол эле кошумчанын иштеп жаткан профили менен салыштырыңыз.

Боштук, тырмакча же доллар белгиси бар маанилерди тырмакчага алыңыз. Ичинде $ бар тырмакчасыз маани кайда талданарына жараша сөзмө-сөз окулат же кеңейтилет, ал эми андан келип чыккан аутентификация катасы туура эмес сырсөзгө окшош.

Андан кийин файлдын ээлигин жана режимин оңдоңуз. Бул ачкыч файлдарын артыкчылыктуу кызмат окуйт, ал эми башка колдонуучулар окуй алган файл ишенимсиз деп эсептелет, бул оңдолгон профилдин эске алынбагандай көрүнүшүнүн кадимки себеби. Ээси root, режим 600, эч кандай өзгөчөлүк жок.

Кайра жүктөңүз, анан активдештириңиз

Файл туташуу жүктөлгөндө окулат, ошондуктан аны оңдоо жетишсиз. Профилдерди кайра жүктөп, анан туташууну ачык көтөрүңүз.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Эгер кайра жүктөө өзгөрүүнү кармабаса, кызматты толук кайра баштоо кармайт, жана дал ушундай болгону тууралуу отчеттор бар. Башка байланыштар маанилүү болгондо кайра жүктөөнү артык көрүңүз, анткени кызматты кайра баштоо ар бир башкарылуучу туташууну үзөт, ал эми алыскы хостто бул керектүү туннель көтөрүлө электе сессияңызды бүтүрүшү мүмкүн.

Аттар эки так эмес болгондо UUID колдонуңуз. Бир нече кардар профили бар машиналарда дээрлик-көчүрмөлөр чогулат, ал эми туура эмесин активдештирүү катышуу дарегинин көйгөйүнө окшош ийгиликсиздик жаратат.

Сакталган сыр көйгөй болбогондо

FortiSSL профили туура сакталган катышуу дареги менен да ийгиликсиз болушу мүмкүн, анткени кардар дарбазанын сертификатына эч качан ишенбейт. Бул параметр негизги диалогдо жок; ал VPNдин кеңейтилген опцияларынын артында, анда ишенимдүү сертификаттын дайджести киргизилет. Эгер журнал сырсөздүн ордуна сертификатты эске алса, сиз бул бутактасыз жана [vpn-secrets] оңдоонун эч кандай өлчөмү жардам бербейт.

Бул жерге дагы эки текшерүү кирет. Профиль кошумча окуй албаган жолго дагы эле шилтеме кылган файлдан импорттолбогонун ырастаңыз жана профилдин активдүү экенин, эскирген көчүрмө эмес экенин ырастаңыз. Экөө тең аутентификация катасы сыяктуу окулган активдештирүү ийгиликсиздигин жаратат.

Сактоого болобу, жокпу — чечиңиз

Сакталган PSK жана сырсөздү ошол машинада root катары иштеген нерселердин баары окуй алат. Өзүңүз көзөмөлдөгөн машинада бул графикалык интерфейссиз кызмат үчүн акылга сыярлык алмашуу. Жалпы хостто бул сүйлөшүүгө татыктуу, анткени профилде азыр мурун иш тактанын ачкыч шакеги менен корголгон катышуу дареги бар. Чечим кабыл алуудан мурун ошол хостто rootко дагы ким жете аларын сураңыз, өзгөрүү ордуна келгенден кийин эмес.

Эгер саясат VPN сырларын сактоого тыюу салса, cron тапшырмасы иштеши үчүн профилди алсыратпаңыз. Туташууну агенти бар сессиядан иштетиңиз же автоматташтыруу үчүн башка механизм колдонуңуз.

Акырында, кайсы профилдер сыр алып жүргөнүн жазып коюңуз, ошентип эч ким байкабастан бирин ноутбукка көчүрбөйт. Сырлар бөлүмүнүн үстүндө күнү жана себеби көрсөтүлгөн комментарий жетиштүү, жана ал кийинчерээк бирөөнү ыңгайсыз карап чыгуудан сактайт.