nmcli nuolat klausia VPN slaptažodžio: saugokite paslaptį vietoje

Tas pats profilis, dvi sesijos: darbalaukyje jis prisijungia, o per SSH pakimba ties užklausa, į kurią niekas negali atsakyti. Niekas nesugedę ir jokia nuostata neprarasta. NetworkManager prašo prisijungimo duomenų iš paslapčių agento, o paslapčių agentas yra darbalaukio komponentas, kurio nėra jūsų naudojamoje sesijoje.

Įvykdykite žemiau pateiktą seką ir tunelis pakils be grafinės sąsajos, tačiau atkreipkite dėmesį, kad paslapties saugojimas pakeičia, kas gali naudoti tą profilį.

Prieš ką nors keisdami patvirtinkite diagnozę

Skirtumas tarp interaktyvaus ir neinteraktyvaus aktyvavimo yra visa diagnozė. Jei nmcli --ask connection up pavyksta, o paprastas aktyvavimas stringa, profilis teisingas ir trūksta paslapties šaltinio. Šis vienas palyginimas apsaugo jus nuo veikiančios konfigūracijos perrašymo.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Skaitykite vėliavas, o ne spėliokite jas. Reikšmės, reiškiančios "klausk agento", yra tai, ko ieškote, o tikslūs raktų pavadinimai skiriasi tarp VPN įskiepių, nes jie gyvena pačiame įskiepio duomenų žodyne. FortiSSL profilis ir IPsec profilis nebūtinai naudoja tuos pačius pavadinimus, todėl dirbkite pagal savo paties profilio išvestį.

Taip pat patvirtinkite, kad to protokolo įskiepio paketas įdiegtas. Trūkstamas įskiepis pasirodo kaip nežinomas ryšio tipas arba kaip aktyvavimo klaida, kuri nieko nepasako apie slaptažodžius, o paslapties vaikymasis toje būsenoje tuščiai praleidžia tą pačią valandą du kartus. Viena paketo užklausa pigesnė nei visas popietė, praleista taisant raktų failus.

Perkelkite paslaptį į raktų failą

Ryšio failas yra po /etc/NetworkManager/system-connections/. Paslaptys ten pagal numatytuosius nustatymus nelaikomos, ir tai yra ką tik perskaitytų vėliavų prasmė. Vėliavos pakeitimas į nulį pasako NetworkManager, kad reikšmė saugoma kartu su profiliu, o ne prašoma aktyvavimo metu.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Profiliui su dviem paslaptimis modelis kartojasi: viena vėliava vienai paslapčiai [vpn] skiltyje, o reikšmės [vpn-secrets]. IPsec profilis paprastai turi iš anksto bendrinamą raktą šalia naudotojo prisijungimo duomenų, o įskiepis juos vadina kitaip nei įprastą slaptažodžio lauką, todėl raktų pavadinimus kopijuokite iš vpn.data išvesties, o ne iš tinklaraščio įrašo, kuriame naudotas kitas įskiepis. Vienas neteisingas rakto pavadinimas sukuria profilį, kuris įkeliamas ir tada nepavyksta autentifikacija, o tai skaitoma lygiai kaip neteisingas slaptažodis. Prieš vėl prisijungdami palyginkite savo failą su veikiančiu to paties įskiepio profiliu.

Reikšmes, kuriose yra tarpų, kabučių ar dolerio ženklas, dėkite į kabutes. Nekabutė reikšmė su $ joje bus perskaityta pažodžiui arba išplėsta priklausomai nuo to, kur ji analizuojama, o dėl to atsirandanti autentifikacijos klaida atrodo kaip neteisingas slaptažodis.

Tada sutvarkykite failo nuosavybę ir režimą. Šiuos raktų failus skaito privilegijuota tarnyba, o failas, kurį gali skaityti kiti naudotojai, laikomas nepatikimu, ir tai yra įprasta priežastis, kodėl redaguotas profilis atrodo ignoruojamas. Savininkas root, režimas 600, jokių išimčių.

Įkelkite iš naujo, tada aktyvuokite

Failas skaitomas įkeliant ryšį, todėl jo redagavimo nepakanka. Iš naujo įkelkite profilius ir tada aiškiai pakelkite ryšį.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Jei įkėlimas iš naujo nepagauna pakeitimo, tai padaro visiškas tarnybos perkrovimas, ir apie būtent tai yra pranešimų. Kai svarbūs kiti ryšiai, rinkitės įkėlimą iš naujo, nes tarnybos perkrovimas nutraukia kiekvieną valdomą ryšį, o nuotoliniame hoste tai gali užbaigti jūsų sesiją prieš pakylant norimam tuneliui.

Kai pavadinimai dviprasmiški, naudokite UUID. Mašinose su keliais klientų profiliais kaupiasi beveik dublikatai, o aktyvavus netinkamą gaunama klaida, kuri atrodo kaip prisijungimo duomenų problema.

Kai saugoma paslaptis nėra problema

FortiSSL profilis gali nepavykti net ir su teisingais saugomais prisijungimo duomenimis, nes klientas niekada nepasitiki tinklų sietuvos sertifikatu. Šis nustatymas nėra pagrindiniame dialoge; jis yra už VPN išplėstinių parinkčių, kur įvedamas patikimo sertifikato santrauka. Jei žurnale minima sertifikatas, o ne slaptažodis, esate šioje šakoje ir joks [vpn-secrets] redagavimas nepadės.

Čia priklauso dar du patikrinimai. Patvirtinkite, kad profilis nebuvo importuotas iš failo, kuris vis dar rodo kelią, kurio įskiepis negali perskaityti, ir patvirtinkite, kad profilis yra aktyvusis, o ne pasenęs dublikatas. Abu sukelia aktyvavimo klaidas, kurios skaitomos kaip autentifikacijos klaidos.

Nuspręskite, ar saugoti priimtina

Saugomas PSK ir slaptažodis yra skaitomi visko, kas toje mašinoje veikia kaip root. Mašinoje, kurią kontroliuojate, tai pagrįstas mainas už tarnybą be grafinės sąsajos. Bendrame hoste tai verta pokalbio, nes profilyje dabar yra prisijungimo duomenys, kuriuos anksčiau saugojo darbalaukio raktinė. Prieš nuspręsdami paklauskite, kas dar gali pasiekti root tame hoste, o ne po to, kai pakeitimas jau įgyvendintas.

Jei politika draudžia saugoti VPN paslaptis, nesusilpninkite profilio, kad veiktų cron užduotis. Vykdykite ryšį iš sesijos, kurioje yra agentas, arba naudokite kitą automatizavimo mechanizmą.

Galiausiai užsirašykite, kurie profiliai turi paslapčių, kad niekas nepastebėjęs nenukopijuotų vieno į nešiojamąjį kompiuterį. Komentaro virš paslapčių skilties su data ir priežastimi pakanka, ir jis apsaugos ką nors nuo nemalonios peržiūros vėliau.