OpenVPN waart op eng systemd-Passwuertufro: sollt Dir se beäntweren?

Um Terminal erschéngt eng Noriicht iwwer systemd-tty-ask-password-agent, an den Tunnel steet net. Déi verlockend Liesung ass, datt de VPN e Passwuert ofgeleent huet an elo eppes op eng Korrektur waart. Genee gesot huet e Service de systemd ëm interaktiv Input gefrot, an d'Ufro ass nach net beäntwert. Wéi e Service gefrot huet an wéi e Geheimnis en will, sinn zwou Froen, déi Dir kläre kënnt, ier Dir eppes tippt.

Zwee Konditiounen entscheeden, wien äntwere soll

Déi éischt Konditioun ass, ob Dir dës Instanz bewosst gestart hutt. Eng Ufro, déi op eng Aktioun vun Iech follegt, ass Är ze beäntweren, an eng, déi ouni déi passend Aktioun erschéngt, gehéiert zu eppes anescht. Déi zweet ass, ob d'Geheimnis Kontauthentifizéierung oder Schlësselschutz ass, well déi op verschiddene Plazen liewen a iwwer verschidde Codeweeër reesen. Béid Äntwerten ze gesinn am Journal, wann Dir kuckt, ier Dir handelt.

Wann béid Äntwerten kloer sinn, ass d'Entscheedung einfach: äntwere iwwer dee vum Service ënnerstëtzte Promptwee. Wann eng vun deenen zwee onkloer ass, ass de richtege Beweegung z'ënnersichen, amplaz e Passwuert an eng Ufro ze tippen, déi Dir net kënnt zouuerdnen.

Dat ass déi ganz Regel, an et ass derwäert, se virun de Kommandoen ze soen. Alles hei drënner folgt doraus.

Lëscht d'Ufro op, ier Dir eppes tippt

Den Agent kann oplëschten, wat aussteet, ouni eppes ze beäntweren. sudo systemd-tty-ask-password-agent --list dréckt déi oppen Ufroen, an déi Ausgab ass de Beweis, deen Dir braucht, fir eng Ufro mat enger Unit ze verknëppen. Liest se, ier Dir en Identitéits-Nodweis gitt, a haalt Ufrobeschreiwungen aus all ëffentlechem Diagnosepaste eraus.

Korreléiert d'Lëscht mat der Operatioun, déi Dir gestart hutt, an mat der Unit, déi se besëtzt. Wann näischt an der Lëscht zu Ärer Aktioun passt, gehéiert d'Ufro, déi Dir gesinn hutt, zu engem anere Service an et ass net Är Aufgab, se ze léisen. Den Numm vun der Unit an der Lëscht ass deen eenzegen zouverléissege Link tëscht enger Ufro an engem Service.

Äntwert keng Ufro, déi Dir net kënnt zouuerdnen. De Präis vum Waarden ass eng Verzögerung, de Präis vun der Äntwert op déi falsch Ufro ass en Identitéits-Nodweis op der falscher Plaz.

Wéi ee Geheimnis brauch d'Instanz wierklech?

auth-user-pass geet ëm d'Kontauthentifizéierung beim VPN-Service, an ouni en Identitéitsfichier ass dat dokumentéiert Verhalen, op der Konsole ze froen. askpass kritt amplaz d'Passphrase, déi geschützt Schlësselmaterial opmaacht, an dat mécht en, ier de Prozess an den Hannergrond geet. Dat sinn ënnerschiddlech Geheimnisser mat ënnerschiddlecher Liewensdauer.

D'Dateiformater ënnerscheede sech och. D'Kontoform erwaart eng Benotzernummzeil an eng Passwuertzeil, wärend de Schlëssel-Passphrase-Fichier déi éischt Zeil als säi Passwuert liest. D'Rezept vum Identitéitsfichier aus der anerer Roll ze kopéieren produzéiert meeschtens nach eng Ufro amplaz enger Léisung. En Datei mat der falscher Form ass schléchter wéi keng Datei, well de Feeler op eng Plaz wiesselt, op déi keen oppasst.

Préift, wéi eng Direktiv d'Instanz benotzt, ier Dir entscheet, wat Dir tippt. Den Numm vun der Direktiv seet Iech, fir wéi ee Geheimnis d'Ufro ass.

Wat --query mécht, wat --list net mécht

--query verschafft all ausstehend Ufro um Terminal, deen en oprufft, wat eng vill méi breet Aktioun ass wéi eng eenzeg Ufro ze beäntweren. Et ass keen OpenVPN-Selektor, an op enger beschäftegter Maschinn kann et Ufroe beäntweren, déi zu aneren Unitten gehéieren. Den Observatiounsmodus ass nach méi breet, well en d'Ufroe weider verschafft, soubal se ukommen.

Benotzt dee schmuelste Mechanismus, dee funktionéiert. Fir een eenzegen Service ass dee seng eege Prompt-Workflow méi schmuel wéi en globale Agent, an hält d'Äntwert un d'Unit gebonnen, déi gefrot huet.

Eng eemoleg Ufro an en onbewaachte globale Agent ëmzewandelen, well eng Noriicht eemol erschéngt ass, ass de Wee, wéi eng temporär Ergernis en dauerhaften Design gëtt. Déiselwecht Virsiicht gilt fir d'Passwuertnoriicht-Unitten um ganze Host auszeschalten.

Entscheet, an dann notéiert d'Wiel

Fir eng onbewaachte Deploiement, stëmmt d'Quell vun den Identitéitsdaten, d'Dateirechter an den Erneierungsplang mam Besëtzer vun der Verbindung of. En interaktiven zweete Faktor kann eng Persoun oder eng eege Service-Identitéit brauchen. D'Ufro z'ënnerdrécken produzéiert déi Authentifizéierung net, an auth-user-pass ewechzehuelen hëlleft nëmmen engem Service, deen en brauch.

No der Interaktioun kuckt déiselwecht Instanz fir hiert nächst Evenement a test de private Ressource. Wann näischt aussteet, gitt zréck an den Zoustand vun der Instanz, amplaz all OpenVPN-Unit um Host ze starten.