SSH аркылуу алыскы VPN редактору: кайсы машинаны түзөтүп жатасыз?

X11 өткөрүү редактордун терезесин ноутбукуңузга коёт, ал эми процесс алыскы хостто уланат. Ушул айырма — бүтүндөй тузак: сиз жергиликтүү терезеге карап, алыскы профилди түзөтүп жатасыз, ал эми өзгөртүү кайсы машинага таандык деген туура эмес божомол иштеп жаткан SSH байланышын үзүп коюшу мүмкүн. Төмөнкү текшерүү тизмеси бир нерсе сакталганга чейин хост менен профилди бекемдейт. Ар бир кадамдын токтоо шарты бар, ошондуктан эрте ийгиликсиздик арзан.

1-кадам: профилге ээ болгон машинаны атаңыз

Конфигурациялай турган shell ичинде идентификациялык буйруктарды иштетиңиз жана жоопту промптон божомолдобой окуп чыгыңыз. Промпттогу хост аты — shellиңиз басып чыгарган сап; ядронун хост аты — бул тизменин калган бөлүгү ишенген нерсе. Экеө дал келбесе, сиз туура эмес машинадасыз же промптту жергиликтүү shellиңиз кооздоп койгон. Токтоп, улантуудан мурун көздөлгөн хостко кайра туташыңыз.

hostnamectl
hostname -f
ip -brief address

Кийинки суроо — бул машина VPN кармашы керекпи. Ноутбуктун кардарын конфигурациялоо жана алыскы хосттун кардарын конфигурациялоо ар башка маршруттар, ар башка DNS жана ар башка ийгиликсиздик режимдерин берет. Профилге тийүүдөн мурун кайсынысын айтып жатканыңызды чечиңиз жана чечимди кийинки адам таба турган жерге жазыңыз.

2-кадам: профилди белги менен эмес, UUID менен окуңуз

NetworkManager байланышты UUID менен аныктайт, ал эми ат — ар ким өзгөртө же көчүрө алган белги. Экеөнү тең тизмелеп, сиз чындап көздөгөн жазууну дал келтириңиз, өзгөчө жылдар бою бир нече VPN профили импортталган хостто.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Сакталган жазуулар менен активдүү байланыштар ар башка суроолорго жооп берет: биринчиси эмне бар экенин, экинчиси азыр эмне трафик ташып жатканын тизмелейт. Уруксаттар сабы сессияңыздын жергиликтүү саясатын сүрөттөйт жана VPN дарбазасы аккаунтту кабыл алабы дегенге эч нерсе айтпайт. Керектүү профиль сакталган тизмеде жок болсо, ушул жерде токтоңуз, анткени туура эмес жазууну түзөтүү эч түзөтпөгөндөн жаман.

UUID'ни алгандан кийин аны өзгөрмөгө салыңыз жана ар бир кийинки буйрукта ошол өзгөрмөнү колдонуңуз. Бул көчүрүү-коюу каталарынын бүтүндөй классын жоёт жана транскриптти кайталануучу кылат.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

3-кадам: графикалык редактор туура куралбы, аны чечиңиз

polkit суроосу же купуя агент керек болгон редактор аны ноутбукуңузда терезеси пайда болгону үчүн эле ала албайт. Бул компоненттер алыскы сессиянын контекстинде иштейт, ал эми дисплейди өткөрүү аларды өткөрбөйт. Эгер редактор авторизация же купуя катасы менен сактай албаса, көйгөй дисплейде эмес.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH X11 өткөрүүнү -X менен иштетет жана ага коштолгон этияттыкты документтештирет: алыскы хост сиздин жергиликтүү дисплейиңизге жете алат, бул чыныгы ишеним чеги. Ишенимдүү өткөрүү -Y менен ошол текшерүүлөрдүн бир бөлүгүн алып салат жана демейки шартта ийгиликсиз болгон колдонмо үчүн эч качан рефлекстик чечим болбошу керек. Эгер уюмуңуз алыскы башкаруу ыкмасын жарыяласа, вариант ойлоп табуунун ордуна ошону колдонуңуз. Көп учурда буйрук сабынын редактору кичирээк бет жана жакшы жооп.

Ушул жерде токтоңуз, эгер жалгыз иштеген жол -Y талап кылса жана эмне үчүн экенин түшүндүрө албасаңыз. Бул коопсуздук саясатынын ээсинин чечими, жеке скриптте кармалган айланып өтүү эмес.

4-кадам: бир нерсени активдештирүүдөн мурун калыбына келтирүү жолун кармаңыз

VPN өзгөртүү SSH сессияңыз көз каранды болгон маршрутту алып салышы мүмкүн, ошондуктан профилди активдештирүүдөн мурун кайтуу жолун даярдаңыз. Консолго кирүү, тилке тышындагы башкаруу дареги же пландалган кайтаруу — баары эсептелет; өзгөртүү иштейт деген үмүт эсептелбейт.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Көздөлгөн профилди гана активдештирип, анан алыскы хосттон текшериңиз: демейки маршрут, SSH кайтуу жолу жана туннель аркылуу жеткиликтүү болушу керек болгон бир ресурс. Ноутбукуңуздан ийгиликтүү текшерүү ноутбуктун жолун сынайт жана алыскы хост жөнүндө эч нерсе айтпайт. Сессия үзүлсө, сокур кайра туташуунун ордуна калыбына келтирүү жолун колдонуңуз. Профилди сактоо — активдештирүү эмес, ал эми активдештирүү — текшерүү эмес.

UUID'ни, өзгөрткөн касиет маанилерин жана аларды текшерүү үчүн колдонгон буйруктарды жазып алыңыз. Бул хостко кийинки тийген адамга үчөө тең керек болот, ал эми VPN оңдолду деген корутундудан транскрипт кымбат. Кайтаруу эскертүүсүз бүткөн текшерүү тизмеси — жарым тизме.