nmcli pastāvīgi prasa VPN paroli: glabājiet noslēpumu lokāli

Tas pats profils, divas sesijas: darbvirsmā tas savienojas, bet caur SSH tas iesprūst uzvednē, uz kuru nekas nevar atbildēt. Nekas nav salūzis un neviens iestatījums nav pazudis. NetworkManager pieprasa akreditācijas datus no noslēpumu aģenta, un noslēpumu aģents ir darbvirsmas komponents, kas jūsu izmantotajā sesijā neeksistē.

Izpildiet zemāk norādīto secību, un tunelis pacelsies bez grafiskās saskarnes, ar piezīmi, ka noslēpuma glabāšana maina to, kas var izmantot šo profilu.

Pirms kaut ko mainīt, apstipriniet diagnozi

Atšķirība starp interaktīvu un neinteraktīvu aktivizāciju ir visa diagnoze. Ja nmcli --ask connection up izdodas, kamēr parasta aktivizācija iesprūst, profils ir pareizs un trūkst noslēpuma avota. Šis viens salīdzinājums pasargā jūs no strādājošas konfigurācijas pārrakstīšanas.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Lasiet karodziņus, nevis miniet tos. Vērtības, kas nozīmē "jautā aģentam", ir tas, ko meklējat, un precīzie atslēgu nosaukumi atšķiras starp VPN spraudņiem, jo tie dzīvo paša spraudņa datu vārdnīcā. FortiSSL profils un IPsec profils ne vienmēr izmanto tos pašus nosaukumus, tāpēc strādājiet no sava profila izvades.

Tāpat pārliecinieties, ka šī protokola spraudņa pakotne ir instalēta. Trūkstošs spraudnis parādās kā nezināms savienojuma veids vai kā aktivizācijas kļūda, kas neko nepasaka par parolēm, un noslēpuma meklēšana šādā stāvoklī divreiz izšķiež to pašu stundu. Viens pakotnes vaicājums ir lētāks par veselu pēcpusdienu atslēgu failu labošanā.

Pārvietojiet noslēpumu atslēgas failā

Savienojuma fails atrodas zem /etc/NetworkManager/system-connections/. Noslēpumi tur pēc noklusējuma netiek glabāti, un tā ir tikko lasīto karodziņu jēga. Karodziņa maiņa uz nulli liek NetworkManager saprast, ka vērtība ir saglabāta kopā ar profilu, nevis tiek pieprasīta aktivizācijas laikā.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Profilam ar diviem noslēpumiem modelis atkārtojas: viens karodziņš vienam noslēpumam sadaļā [vpn], un vērtības [vpn-secrets]. IPsec profils parasti nes iepriekš koplietotu atslēgu blakus lietotāja akreditācijas datiem, un spraudnis tos nosauc citādi nekā parastu paroles lauku, tāpēc kopējiet atslēgu nosaukumus no vpn.data izvades, nevis no emuāra ieraksta, kurā izmantots cits spraudnis. Viens nepareizs atslēgas nosaukums rada profilu, kas ielādējas un pēc tam neizdodas autentifikācijā, kas lasās tieši kā nepareiza parole. Pirms atkārtotas savienošanas salīdziniet savu failu ar strādājošu tā paša spraudņa profilu.

Ievietojiet pēdiņās vērtības, kas satur atstarpes, pēdiņas vai dolāra zīmi. Vērtība bez pēdiņām ar $ tajā tiks nolasīta burtiski vai izvērsta atkarībā no tā, kur tā tiek parsēta, un no tā izrietošā autentifikācijas kļūda izskatās kā nepareiza parole.

Pēc tam izlabojiet faila īpašnieku un režīmu. Šos atslēgu failus lasa privileģēts pakalpojums, un fails, ko var lasīt citi lietotāji, tiek uzskatīts par neuzticamu, un tas ir parastais iemesls, kāpēc rediģēts profils šķiet ignorēts. Īpašnieks root, režīms 600, bez izņēmumiem.

Pārlādējiet, pēc tam aktivizējiet

Fails tiek lasīts, kad savienojums tiek ielādēts, tāpēc ar rediģēšanu vien nepietiek. Pārlādējiet profilus un pēc tam skaidri paceliet savienojumu.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Ja pārlāde neuztver izmaiņas, to dara pilnīga pakalpojuma restartēšana, un par tieši to ir ziņojumi. Dodiet priekšroku pārlādei, kad svarīgi ir citi savienojumi, jo pakalpojuma restartēšana pārtrauc katru pārvaldīto savienojumu, un attālinātā resursdatorā tas var izbeigt jūsu sesiju, pirms vēlamais tunelis ir pacēlies.

Izmantojiet UUID, ja nosaukumi ir neskaidri. Mašīnās ar vairākiem klientu profiliem uzkrājas gandrīz-dublikāti, un nepareizā aktivizēšana rada kļūdu, kas izskatās kā akreditācijas datu problēma.

Kad saglabātais noslēpums nav problēma

FortiSSL profils var neizdoties arī ar pareiziem saglabātiem akreditācijas datiem, jo klients nekad neuzticas vārtejas sertifikātam. Šis iestatījums nav galvenajā dialogā; tas atrodas aiz VPN papildu opcijām, kur ievada uzticamā sertifikāta kopsavilkumu. Ja žurnālā minēts sertifikāts, nevis parole, jūs esat šajā zarā, un nekāds [vpn-secrets] labojums nepalīdzēs.

Šeit pieder vēl divas pārbaudes. Pārliecinieties, ka profils nav importēts no faila, kas joprojām norāda uz ceļu, kuru spraudnis nevar nolasīt, un pārliecinieties, ka profils ir aktīvais, nevis novecojis dublikāts. Abi rada aktivizācijas kļūdas, kas lasās kā autentifikācijas kļūdas.

Izlemiet, vai glabāšana ir pieņemama

Saglabātu PSK un paroli var nolasīt jebkas, kas šajā mašīnā darbojas kā root. Mašīnā, kuru kontrolējat, tas ir saprātīgs maiņas darījums par pakalpojumu bez grafiskās saskarnes. Koplietotā resursdatorā tas ir sarunas vērts, jo profils tagad satur akreditācijas datus, ko iepriekš aizsargāja darbvirsmas atslēgu saite. Pirms lemšanas pajautājiet, kas vēl var sasniegt root šajā resursdatorā, nevis pēc tam, kad izmaiņas jau ir ieviestas.

Ja politika aizliedz glabāt VPN noslēpumus, nevājiniet profilu, lai cron uzdevums strādātu. Palaidiet savienojumu no sesijas, kurai ir aģents, vai izmantojiet citu automatizācijas mehānismu.

Visbeidzot, pierakstiet, kuri profili nes noslēpumus, lai neviens nepamanīts nenokopētu kādu klēpjdatorā. Komentārs virs noslēpumu sadaļas ar datumu un iemeslu ir pietiekams, un tas kādam vēlāk ietaupīs neērtu pārbaudi.