Nuotolinis VPN redaktorius per SSH: kurią mašiną redaguojate?

X11 persiuntimas padeda redaktoriaus langą jūsų nešiojamajame kompiuteryje, o procesas toliau veikia nuotoliniame hoste. Šis tarpas ir yra visa spąstai: jūs žiūrite į vietinį langą ir redaguojate nuotolinį profilį, o klaidinga prielaida apie tai, kuri mašina valdo pakeitimą, gali nutraukti SSH ryšį, per kurį dirbate. Toliau pateiktas kontrolinis sąrašas užfiksuoja hostą ir profilį prieš ką nors išsaugant. Kiekvienas žingsnis turi sustojimo sąlygą, todėl ankstyva klaida pigi.

1 žingsnis: įvardykite mašiną, kuriai priklauso profilis

Paleiskite tapatybės komandas apvalkale, kurį ketinate konfigūruoti, ir perskaitykite atsakymą, o ne spėkite jį iš komandinės eilutės. Hostname komandinėje eilutėje yra eilutė, kurią atspausdino jūsų apvalkalas; branduolio hostname yra tai, kuo pasitiki likusi šio sąrašo dalis. Jei abu nesutampa, esate ne toje mašinoje arba komandine eilutę papuošė jūsų vietinis apvalkalas. Sustokite ir prieš tęsdami iš naujo prisijunkite prie numatomo hosto.

hostnamectl
hostname -f
ip -brief address

Kitas klausimas – ar ši mašina apskritai turėtų laikyti VPN. Nešiojamojo kompiuterio kliento konfigūravimas ir nuotolinio hosto kliento konfigūravimas duoda skirtingus maršrutus, skirtingą DNS ir skirtingus gedimo režimus. Nuspręskite, kurį turite omenyje, prieš liesdami profilį, ir užrašykite sprendimą ten, kur jį ras kitas žmogus.

2 žingsnis: skaitykite profilį pagal UUID, o ne pagal etiketę

NetworkManager atpažįsta ryšį pagal UUID, o pavadinimas yra etiketė, kurią bet kas gali redaguoti arba dubliuoti. Išvardykite abu ir suderinkite būtent tą įrašą, kurį norite, ypač hoste, kuriame per metus buvo importuoti keli VPN profiliai.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Išsaugoti įrašai ir aktyvūs ryšiai atsako į skirtingus klausimus: pirmasis išvardija, kas egzistuoja, antrasis – kas šiuo metu neša srautą. Teisių eilutė apibūdina vietinę jūsų sesijos politiką ir nieko nesako apie tai, ar VPN šliuzas priims paskyrą. Jei reikiamo profilio nėra išsaugotame sąraše, sustokite čia, nes redaguoti netinkamą įrašą blogiau nei neredaguoti visai.

Gavę UUID, įdėkite jį į kintamąjį ir naudokite tą kintamąjį kiekvienoje vėlesnėje komandoje. Tai pašalina visą kopijavimo ir įklijavimo klaidų klasę ir padaro įrašą atkartojamą.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

3 žingsnis: nuspręskite, ar grafinis redaktorius yra tinkamas įrankis

Redaktorius, kuriam reikia polkit užklausos ar slaptųjų duomenų agento, jos negaus vien todėl, kad jo langas pasirodė jūsų nešiojamajame kompiuteryje. Tie komponentai veikia nuotolinės sesijos kontekste, o ekrano persiuntimas jų nepersiunčia. Jei redaktorius negali išsaugoti dėl autorizacijos ar slaptojo duomens klaidos, problema ne ekrane.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH įjungia X11 persiuntimą su -X ir dokumentuoja su tuo susijusį atsargumą: nuotolinis hostas gali pasiekti jūsų vietinį ekraną, o tai yra tikra pasitikėjimo riba. Patikimas persiuntimas su -Y pašalina dalį tų patikrų ir niekada neturėtų būti refleksinis sprendimas programai, kuri nepavyksta su numatytosiomis nuostatomis. Jei jūsų organizacija skelbia nuotolinio administravimo metodą, naudokite jį, o ne kurkite variantą. Dažniausiai komandinės eilutės redaktorius yra mažesnis paviršius ir geresnis atsakymas.

Sustokite čia, jei vienintelis veikiantis kelias reikalauja -Y ir negalite paaiškinti kodėl. Tai sprendimas saugumo politikos savininkui, o ne apėjimas asmeniniame scenarijuje.

4 žingsnis: pasilikite atkūrimo kelią prieš ką nors aktyvuodami

VPN pakeitimas gali pašalinti maršrutą, nuo kurio priklauso jūsų SSH sesija, todėl prieš aktyvuodami profilį sutvarkykite kelią atgal. Konsolės prieiga, užjuostinis valdymo adresas ar suplanuotas atsukimas visi skaičiuojami; viltis, kad pakeitimas veiks, neskaičiuojama.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktyvuokite tik numatytą profilį, tada patikrinkite iš nuotolinio hosto: numatytąjį maršrutą, SSH grįžimo kelią ir vieną išteklių, kuris turėtų būti pasiekiamas per tunelį. Sėkminga patikra iš jūsų nešiojamojo kompiuterio tikrina nešiojamojo kelią ir nieko nesako apie nuotolinį hostą. Jei sesija nutrūksta, naudokite atkūrimo kelią, o ne junkitės iš naujo aklai. Profilio išsaugojimas nėra aktyvavimas, o aktyvavimas nėra patikra.

Užrašykite UUID, pakeistas savybių reikšmes ir komandas, kuriomis jas tikrinote. Kitam žmogui, kuris palies šį hostą, prireiks visų trijų, o įrašas vertingesnis už santrauką, sakantį, kad VPN sutvarkytas. Kontrolinis sąrašas, pasibaigiantis be atsukimo pastabos, yra pusė sąrašo.