Attālinātais VPN redaktors caur SSH: kuru mašīnu jūs rediģējat?

X11 pārsūtīšana novieto redaktora logu jūsu klēpjdatorā, kamēr process turpina darboties attālinātajā hostā. Šī plaisa ir visas slazds: jūs skatāties uz vietējo logu un rediģējat attālinātu profilu, un nepareizs pieņēmums par to, kura mašīna pieder izmaiņām, var pārtraukt SSH savienojumu, ar kuru jūs strādājat. Zemāk esošais kontrolsaraksts nofiksē hostu un profilu pirms kaut kas tiek saglabāts. Katram solim ir apstāšanās nosacījums, tāpēc agrīna kļūda ir lēta.

1. solis: nosauciet mašīnu, kurai pieder profils

Palaidiet identitātes komandas čaulā, kuru gatavojaties konfigurēt, un izlasiet atbildi, nevis pieņemiet to no uzvednes. Resursdatora nosaukums uzvednē ir virkne, ko izdrukāja jūsu čaula; kodola resursdatora nosaukums ir tas, kam uzticas pārējais šī saraksta. Ja abi nesakrīt, jūs esat nepareizajā mašīnā vai uzvedni izrotājusi jūsu vietējā čaula. Apstājieties un pirms turpināšanas atkārtoti pievienojieties paredzētajam hostam.

hostnamectl
hostname -f
ip -brief address

Nākamais jautājums ir, vai šai mašīnai vispār jātur VPN. Klēpjdatora klienta konfigurēšana un attālinātā hosta klienta konfigurēšana dod dažādus maršrutus, dažādu DNS un dažādus atteices režīmus. Izlemiet, kuru jūs domājat, pirms pieskaraties profilam, un pierakstiet lēmumu tur, kur to atradīs nākamais cilvēks.

2. solis: lasiet profilu pēc UUID, nevis pēc etiķetes

NetworkManager identificē savienojumu pēc UUID, bet nosaukums ir etiķete, ko ikviens var rediģēt vai dublēt. Uzskaitiet abus un saskaņojiet tieši to ierakstu, kuru domājat, īpaši hostā, kurā gadu gaitā importēti vairāki VPN profili.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Saglabātie ieraksti un aktīvie savienojumi atbild uz dažādiem jautājumiem: pirmais uzskaita, kas pastāv, otrais uzskaita, kas šobrīd nes satiksmi. Atļauju rinda apraksta jūsu sesijas vietējo politiku un neko nepasaka par to, vai VPN vārteja pieņems kontu. Ja nepieciešamais profils nav saglabātajā sarakstā, apstājieties šeit, jo nepareiza ieraksta rediģēšana ir sliktāka par nekādu rediģēšanu.

Kad UUID ir iegūts, ievietojiet to mainīgajā un izmantojiet šo mainīgo katrā nākamajā komandā. Tas novērš veselu kopēšanas un ielīmēšanas kļūdu klasi un padara ierakstu atkārtojamu.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

3. solis: izlemiet, vai grafiskais redaktors ir pareizais rīks

Redaktoram, kuram nepieciešama polkit uzvedne vai slepeno datu aģents, tas netiks tikai tāpēc, ka tā logs parādās jūsu klēpjdatorā. Šīs sastāvdaļas darbojas attālinātās sesijas kontekstā, un ekrāna pārsūtīšana tās nepārsūta. Ja redaktors nevar saglabāt autorizācijas vai slepenās atslēgas kļūdas dēļ, problēma nav ekrānā.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH iespējo X11 pārsūtīšanu ar -X un dokumentē ar to saistīto piesardzību: attālinātais hosts var sasniegt jūsu vietējo ekrānu, un tā ir reāla uzticēšanās robeža. Uzticama pārsūtīšana ar -Y noņem daļu no šīm pārbaudēm, un tam nekad nevajadzētu būt refleksīvam risinājumam lietotnei, kas noklusējuma iestatījumos cieš neveiksmi. Ja jūsu organizācija publicē attālinātas administrēšanas metodi, izmantojiet to, nevis izgudrojiet variantu. Vairumā gadījumu komandrindas redaktors ir mazāka virsma un labāka atbilde.

Apstājieties šeit, ja vienīgais strādājošais ceļš prasa -Y un jūs nevarat izskaidrot, kāpēc. Tas ir lēmums tam, kuram pieder drošības politika, nevis apvedceļš personīgā skriptā.

4. solis: saglabājiet atkopšanas ceļu pirms kaut ko aktivizējat

VPN izmaiņas var noņemt maršrutu, no kura atkarīga jūsu SSH sesija, tāpēc pirms profila aktivizēšanas sakārtojiet ceļu atpakaļ. Piekļuve konsolei, ārpusjoslas pārvaldības adrese vai ieplānota atritināšana visas skaitās; cerība, ka izmaiņas strādās, neskaitās.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktivizējiet tikai paredzēto profilu, pēc tam pārbaudiet no attālinātā hosta: noklusējuma maršrutu, SSH atgriešanās ceļu un vienu resursu, kuram jābūt sasniedzamam caur tuneli. Veiksmīga pārbaude no jūsu klēpjdatora pārbauda klēpjdatora ceļu un neko nepasaka par attālināto hostu. Ja sesija nokrīt, izmantojiet atkopšanas ceļu, nevis bezatbildīgi pievienojieties no jauna. Profila saglabāšana nav aktivizēšana, un aktivizēšana nav pārbaude.

Pierakstiet UUID, mainītās rekvizītu vērtības un komandas, ar kurām tās pārbaudījāt. Nākamajam cilvēkam, kurš pieskarsies šim hostam, būs vajadzīgas visas trīs, un ieraksts ir vērtīgāks par kopsavilkumu, ka VPN ir salabots. Kontrolsaraksts, kas beidzas bez atritināšanas piezīmes, ir pussaraksts.