OpenVPN чека барање за лозинка од systemd: треба ли да одговорите?

Во терминалот се појавува порака за systemd-tty-ask-password-agent, а тунелот не е подигнат. Примамливото читање е дека VPN-от одбил лозинка и дека нешто сега чека исправка. Попрецизно е да се каже дека служба побарала од systemd интерактивен внес, а барањето сѐ уште не е одговорено. Која служба прашала и која тајна ја сака — две прашања што можете да ги решите пред да напишете нешто.

Кој треба да одговори, одлучуваат два услови

Првиот услов е дали сте ја стартувале оваа инстанца намерно. Барање што следи по ваша акција е ваше да го одговорите, а она што се појавува без соодветна акција и припаѓа на нешто друго. Вториот е дали тајната е автентикација на сметка или заштита на клуч, бидејќи тие живеат на различни места и патуваат по различни кодни патеки. Двата одговора се видливи во журналот ако погледнете пред да дејствувате.

Кога двата одговора се јасни, одлуката е едноставна: одговорете преку сопствената поддржана патека за барање на службата. Кога некој е нејасен, правилниот чекор е да истражите, а не да внесете лозинка во барање што не можете да го припишете.

Тоа е целото правило, и вреди да се каже пред командите. Сѐ подолу произлегува од него.

Наведете го барањето пред да напишете нешто

Агентот може да го наброи она што е во чекање без да одговори на нешто. sudo systemd-tty-ask-password-agent --list ги печати отворените барања, а тој излез е доказот што ви треба за да го поврзете барањето со единица. Прочитајте го пред да дадете акредитиви и држете ги описите на барањата надвор од секое јавно дијагностичко вметнување.

Поврзете го списокот со операцијата што сте ја започнале и со единицата што ја поседува. Ако ништо во списокот не одговара на вашата акција, барањето што го видовте и припаѓа на друга служба и не е ваше да го решите. Името на единицата во списокот е единствената сигурна врска меѓу барање и служба.

Не одговарајте на барање што не можете да го припишете. Цената на чекањето е одложување, а цената на одговор на погрешното барање е акредитив на погрешно место.

Која тајна и е навистина потребна на инстанцата?

auth-user-pass се однесува на автентикација на сметка кај VPN службата, а без датотека со акредитиви документираната постапка е да се праша на конзолата. askpass наместо тоа ја добива фразата што го отклучува заштитениот клучен материјал, и тоа го прави пред процесот да премине во позадина. Тоа се различни тајни со различен животен век.

И форматите на датотеките се разликуваат. Формата за сметка очекува ред со корисничко име и ред со лозинка, додека датотеката со фраза за клучот ја чита првата линија како своја лозинка. Копирањето рецепт за датотека со акредитиви од другата улога обично произведува уште едно барање наместо решение. Датотека со погрешна форма е полоша од никаква датотека, бидејќи дефектот се преместува на место што никој не го надгледува.

Проверете која директива ја користи инстанцата пред да одлучите што да напишете. Името на директивата ви кажува за која тајна е барањето.

Што прави --query што --list не го прави

--query го обработува секое барање во чекање на терминалот што го повикува, што е многу поширока акција од одговарање на едно барање. Тоа не е селектор на OpenVPN и на зафатена машина може да одговори на барања што им припаѓаат на други единици. Режимот на набљудување е уште поширок, бидејќи продолжува да ги обработува барањата како што пристигнуваат.

Користете го најтесниот механизам што работи. За една служба, сопствениот тек на барања на таа служба е потесен од глобален агент и го држи одговорот врзан за единицата што прашала.

Претворањето на еднократно барање во ненадгледуван глобален агент затоа што известување се појавило еднаш е патот по кој привремена непријатност станува траен дизајн. Истата претпазливост важи за исклучување на единиците за известување за лозинка на целиот домаќин.

Одлучете, па запишете го изборот

За ненадгледувано распоредување, договорете го изворот на акредитиви, дозволите за датотеката и распоредот за обнова со оној што го поседува поврзувањето. Интерактивниот втор фактор може да бара личност или посебен идентитет на служба. Потиснувањето на барањето не ја произведува таа автентикација, а отстранувањето на auth-user-pass само ја крши службата што го има потреба од него.

По интеракцијата, погледнете ја истата инстанца за нејзиниот следен настан и тестирајте го приватниот ресурс. Ако ништо не е во чекање, вратете се во состојбата на инстанцата наместо да стартувате секоја OpenVPN единица на домаќинот.