OpenVPN gaida systemd paroles pieprasījumu: vai atbildēt?

Terminālī parādās ziņojums par systemd-tty-ask-password-agent, un tunelis nav pacelts. Vilinošais skatījums ir tāds, ka VPN noraidīja paroli un kaut kas tagad gaida labojumu. Precīzāk ir teikt, ka pakalpojums lūdza systemd interaktīvu ievadi un pieprasījumam vēl nav atbildēts. Kurš pakalpojums jautāja un kādu noslēpumu tas grib, ir divi jautājumi, ko varat atrisināt pirms kaut ko rakstīt.

Kam vajadzētu atbildēt, izlemj divi nosacījumi

Pirmais nosacījums ir, vai šo instanci palaidāt apzināti. Pieprasījums, kas seko jūsu darbībai, ir jūsu atbildams, un tas, kas parādās bez atbilstošas darbības, pieder kam citam. Otrais ir, vai noslēpums ir konta autentifikācija vai atslēgas aizsardzība, jo tie dzīvo dažādās vietās un ceļo pa dažādiem koda ceļiem. Abas atbildes ir redzamas žurnālā, ja paskatāties pirms rīcības.

Kad abas atbildes ir skaidras, lēmums ir vienkāršs: atbildiet pa paša pakalpojuma atbalstīto pieprasījuma ceļu. Kad kāda no tām nav skaidra, pareizais solis ir izmeklēt, nevis rakstīt paroli pieprasījumā, kuru nevarat attiecināt.

Tas ir viss noteikums, un to ir vērts pateikt pirms komandām. Viss turpmāk izriet no tā.

Uzskaitiet pieprasījumu pirms kaut ko rakstāt

Aģents var uzskaitīt, kas gaida, ne uz ko neatbildot. sudo systemd-tty-ask-password-agent --list izdrukā neizpildītos pieprasījumus, un šī izvade ir pierādījums, kas nepieciešams pieprasījuma saistīšanai ar vienību. Izlasiet to pirms akreditācijas datu sniegšanas un turiet pieprasījumu aprakstus ārpus jebkuras publiskas diagnostikas ielīmēšanas.

Sasaistiet sarakstu ar uzsākto darbību un ar vienību, kurai tā pieder. Ja sarakstā nekas neatbilst jūsu darbībai, redzētais pieprasījums pieder citam pakalpojumam un nav jūsu risināms. Vienības nosaukums sarakstā ir vienīgā uzticamā saite starp pieprasījumu un pakalpojumu.

Neatbildiet uz pieprasījumu, kuru nevarat attiecināt. Gaišanas cena ir kavēšanās, bet atbildes uz nepareizo pieprasījumu cena ir akreditācijas dati nepareizā vietā.

Kāds noslēpums instancei patiešām ir vajadzīgs?

auth-user-pass attiecas uz konta autentifikāciju pret VPN pakalpojumu, un bez akreditācijas datu faila dokumentētā uzvedība ir jautāt konsolē. askpass tā vietā iegūst garfrāzi, kas atslēdz aizsargāto atslēgas materiālu, un dara to pirms process pāriet fonā. Tie ir dažādi noslēpumi ar atšķirīgu dzīves ilgumu.

Arī failu formāti atšķiras. Konta forma gaida lietotājvārda rindu un paroles rindu, savukārt atslēgas garfrāzes fails pirmo rindu lasa kā savu paroli. Akreditācijas datu faila receptes pārkopēšana no otras lomas parasti rada vēl vienu pieprasījumu, nevis risinājumu. Fails ar nepareizu formu ir sliktāks par faila neesamību, jo kļūme pārceļas uz vietu, kuru neviens neuzrauga.

Pirms izlemjat, ko rakstīt, pārbaudiet, kuru direktīvu instance izmanto. Direktīvas nosaukums pasaka, kuram noslēpumam pieprasījums ir domāts.

Ko dara --query, ko --list nedara

--query apstrādā katru gaidošo pieprasījumu izsaucošajā terminālī, kas ir daudz plašāka darbība nekā atbilde uz vienu pieprasījumu. Tas nav OpenVPN selektors, un noslogotā mašīnā tas var atbildēt uz pieprasījumiem, kas pieder citām vienībām. Uzraudzības režīms ir vēl plašāks, jo tas turpina apstrādāt pieprasījumus, kad tie ierodas.

Izmantojiet šaurāko mehānismu, kas darbojas. Vienam pakalpojumam tā paša pieprasījuma plūsma ir šaurāka nekā globāls aģents, un tā notur atbildi piesaistītu vienībai, kas jautāja.

Vienreizēja pieprasījuma pārvēršana neuzraudzītā globālā aģentā tikai tāpēc, ka paziņojums parādījās vienreiz, ir ceļš, kā īslaicīga neērtība kļūst par pastāvīgu dizainu. Tāda pati piesardzība attiecas uz paroles paziņojumu vienību atslēgšanu visā resursdatorā.

Izlemiet un pēc tam pierakstiet izvēli

Neuzraudzītai ieviešanai saskaņojiet akreditācijas datu avotu, faila atļaujas un atjaunošanas grafiku ar to, kam pieder savienojums. Interaktīvam otrajam faktoram var būt vajadzīga persona vai īpaša pakalpojuma identitāte. Pieprasījuma nomākšana nerada šo autentifikāciju, un auth-user-pass noņemšana sabojā tikai to pakalpojumu, kuram tas ir vajadzīgs.

Pēc mijiedarbības apskatiet to pašu instanci tās nākamajam notikumam un pārbaudiet privāto resursu. Ja nekas negaida, atgriezieties instances stāvoklī, nevis palaidiet katru OpenVPN vienību resursdatorā.