Зошто VPN услугата што се стартува при подигање не може да го прочита твојот приврзок со клучеви

Врска што работи по најавувањето и не успева пред тоа обично значи дека обидот при подигање не можел да добие тајна, а не дека серверот ја одбил. Акредитивот постои; контекстот што го бара не постои. Таа единствена разлика заштедува непотребно ресетирање на лозинка.

Следи го барањето: нешто ја стартува врската пред да постои сесија на работна површина, а складиштето за тајни што обично одговара сѐ уште не е отклучено. Двата контексти не се согласуваат за тоа кому му припаѓа тајната, а профилот запишува кој од нив се очекува да ја достави.

Што всушност бара патеката за подигање

При подигање, NetworkManager се стартува како системска услуга без корисничка сесија, без сесиски D-Bus и без отклучен приврзок со клучеви. Профилот на врската сепак може да се подигне, но само со тајни до кои услугата може да стигне сама. Сѐ што е сопственост на агент за тајни чека додека човек не се најави и агентот не се појави. Услугата го прави точно она што го вели нејзината конфигурација; профилот е тоа што мора да се смени.

Неуспехот е запишан во врската, а не скриен во приврзок со клучеви.

Читање на знаменцата за тајни на врска

Прашај ја врската што очекува, а не што памети работната површина. Колоната со знаменца одговара на прашањето директно и преживува рестартирања во датотеката на профилот на дискот.

Започни со списокот на профили, потоа потврди која врска е поставена сама да се подигне. Потоа исфрли една врска и прочитај ги знаменцата за лозинка:

nmcli -f NAME,UUID,TYPE,AUTOCONNECT connection show
nmcli connection show "Work VPN" | grep -i -E "password|secret|key"
journalctl -b -u NetworkManager --grep "secret"

Првата команда потврдува кои профили постојат и дали еден е поставен на автоматско поврзување, што е начинот на кој воопшто започнува обид без надзор. Втората ги открива вредностите на знаменцата, а третата ја покажува услугата како се жали дека ниту еден агент не одговорил за дадена тајна. Редот во дневникот што нарекува тајна агентска сопственост е целата дијагноза во една реченица.

Зошто преместувањето на врската во системски опсег го менува одговорот

Врска во сопственост на корисник се активира под агентот на тој корисник, затоа работи беспрекорно штом работната површина е подигната. Преместувањето во системски опсег го отстранува агентот од патеката, па истиот профил се однесува поинаку без промена на ниту еден ред од VPN конфигурацијата.

Тоа преместување е легитимен дизајн и носи барање: тајната мора да биде достапна за системската услуга. Нејзино чување во профилот, обезбедување преку акредитив во системски опсег или прифаќање интерактивно барање во вистинскиот момент се сите важечки одговори. Да се остави знаменцето 1 и да се надеваме не е.

Приватен клуч со своја лозинка додава втор слој. Дури и зачувана лозинка на сметка нема да отклучи клуч што бара лозинка, затоа провери која тајна всушност ја бара фазата што не успева пред да смениш нешто.

Што да не правиш и што да правиш наместо тоа

Правењето на секоја датотека со акредитиви читлива за сите, или исклучувањето на автентикацијата за да не биде потребно барање, разменува непријатност при стартување за постојана изложеност. И двете ја кријат зависноста наместо да ја решат, а следното ажурирање на сликата ја враќа истата грешка.

Во таа фаза користи механизмот што твојата дистрибуција го документира за активирање без надзор, потоа потврди дека знаменцата на профилот се совпаѓаат со него. Провери го резултатот од чисто подигање, а не од школка што веќе има агент. Запиши го сопственикот на врската, изворот на тајната и фазата што мора да работи, за да не може подоцнежна промена на автоматското стартување тивко да врати зависност од тоа некој прво да отклучи работна површина. Документацијата е разликата меѓу поправена услуга и онаа што повторно се крши следниот квартал.

Тестирај од контролирано чисто подигање, а не од рачно повторно обидување по најавувањето. Повторното обидување успева поради причината поради која обидот при подигање не успеал, и тоа е точно доказот што брз тест го уништува.