Далечен VPN уредувач преку SSH: кој сметач го уредувате?

Препраќањето X11 го става прозорецот на уредувачот на вашиот преносен сметач, додека процесот продолжува да работи на далечниот домаќин. Оваа празнина е целата стапица: гледате локален прозорец и уредувате далечен профил, а погрешна претпоставка за тоа кој сметач ја поседува промената може да ја прекине SSH врската преку која работите. Контролната листа подолу го фиксира домаќинот и профилот пред ништо да се зачува. Секој чекор има услов за запирање, така што раниот неуспех е евтин.

Чекор 1: именувајте го сметачот што го поседува профилот

Извршете ги командите за идентитет во школката што ќе ја конфигурирате и прочитајте го одговорот наместо да го претпоставувате од поттикот. Името на домаќинот во поттикот е низа што ја испечатила вашата школка; името на домаќинот на кернелот е она во што верува остатокот од оваа листа. Ако двете не се совпаѓаат, сте на погрешен сметач или поттикот е украсен од вашата локална школка. Запрете и повторно поврзете се со предвидениот домаќин пред да продолжите.

hostnamectl
hostname -f
ip -brief address

Следното прашање е дали овој сметач воопшто треба да го држи VPN. Конфигурирањето на клиентот на преносниот сметач и конфигурирањето на клиентот на далечниот домаќин даваат различни рути, различен DNS и различни режими на неуспех. Одлучете кој го мислите пред да допрете профил и запишете ја одлуката таму каде што ќе ја најде следниот човек.

Чекор 2: читајте го профилот по UUID, а не по етикета

NetworkManager идентификува врска по UUID, додека името е етикета што секој може да ја уреди или дуплика. Наведете ги двете и совпаѓајте го записот што навистина го сакате, особено на домаќин каде што со години се увезени неколку VPN профили.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Зачуваните записи и активните врски одговараат на различни прашања: првиот набројува што постои, вториот набројува што моментално пренесува сообраќај. Линијата за дозволи ја опишува локалната политика за вашата сесија и не кажува ништо за тоа дали VPN портата ќе ја прифати сметката. Ако профилот што ви треба не е во зачуваната листа, запрете тука, бидејќи уредувањето на погрешниот запис е полошо од никакво уредување.

Откако ќе го добиете UUID, ставете го во променлива и користете ја таа променлива во секоја следна команда. Тоа отстранува цела класа грешки при копирање и вметнување и го прави записот репродуктивен.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Чекор 3: одлучете дали графичкиот уредувач е вистинската алатка

Уредувач на кој му треба барање polkit или агент за тајни нема да го добие само затоа што неговиот прозорец се појавува на вашиот преносен сметач. Тие компоненти работат во контекст на далечната сесија, а препраќањето на екран не ги препраќа. Ако уредувачот не може да зачува поради грешка со авторизација или тајна, проблемот не е екранот.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH го овозможува препраќањето X11 со -X и ја документира претпазливоста што оди со тоа: далечниот домаќин може да стигне до вашиот локален екран, што е вистинска граница на доверба. Доверливото препраќање со -Y отстранува дел од тие проверки и никогаш не треба да биде рефлексно решение за апликација што пропаѓа при стандардните поставки. Ако вашата организација објавува метод за далечинско администрарање, користете го него наместо да измислувате варијанта. Во повеќето случаи уредувачот на командната линија е помала површина и подобар одговор.

Запрете тука ако единствениот работен пат бара -Y и не можете да објасните зошто. Тоа е одлука за оној што ја поседува безбедносната политика, а не заобиколување да се чува во лична скрипта.

Чекор 4: чувајте пат за обновување пред да активирате нешто

Промената на VPN може да ја отстрани рутата од која зависи вашата SSH сесија, затоа уредете пат за враќање пред да го активирате профилот. Пристапот до конзола, адресата за управување надвор од опсегот или закажаното враќање сите се сметаат; надежта дека промената ќе работи не се смета.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Активирајте го само предвидениот профил, потоа проверете од далечниот домаќин: стандардната рута, патеката за враќање на SSH и еден ресурс што треба да биде достапен преку тунелот. Успешната проверка од вашиот преносен сметач ја проверува патеката на преносниот сметач и не кажува ништо за далечниот домаќин. Ако сесијата падне, користете го патот за обновување наместо слепо повторно поврзување. Зачувувањето на профил не е активирање, а активирањето не е проверка.

Запишете го UUID, променетите вредности на својствата и командите со кои ги проверивте. На следниот човек што ќе го допре овој домаќин ќе му требаат сите три, а записот вреди повеќе од резиме што вели дека VPN е поправен. Контролната листа што завршува без забелешка за враќање е половина листа.