nmcli सतत VPN पासवर्ड विचारतो: गुप्तता स्थानिकपणे साठवा

एकच प्रोफाइल, दोन सत्रे: ते डेस्कटॉपवरून जोडते आणि SSH वर अशा प्रॉम्प्टवर अडकते ज्याला कोणीही उत्तर देऊ शकत नाही। काहीही तुटलेले नाही आणि कोणतेही सेटिंग हरवलेले नाही। NetworkManager सीक्रेट एजंटकडून क्रेडेन्शियल मागत आहे, आणि सीक्रेट एजंट हा डेस्कटॉप घटक आहे जो तुम्ही वापरत असलेल्या सत्रात नाही।

खालील क्रम चालवा आणि टनल ग्राफिकल इंटरफेशिवाय वर येईल, या इशाऱ्यासह की गुप्तता साठवल्याने ते प्रोफाइल कोण वापरू शकते हे बदलते।

काहीही बदलण्यापूर्वी निदानाची खात्री करा

इंटरॅक्टिव्ह आणि नॉन-इंटरॅक्टिव्ह सक्रियतेतील फरक हे संपूर्ण निदान आहे। जर nmcli --ask connection up यशस्वी होते आणि सामान्य सक्रियता अडकते, तर प्रोफाइल बरोबर आहे आणि गुप्ततेचा स्रोत गहाळ आहे। ती एकच तुलना तुम्हाला कार्यरत कॉन्फिगरेशन पुन्हा लिहिण्यापासून वाचवते।

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

अंदाज न लावता फ्लॅग वाचा। "एजंटला विचारा" असा अर्थ असलेली मूल्ये हीच तुम्ही शोधत आहात, आणि नेमकी की नावे VPN प्लगइनमध्ये वेगळी असतात कारण ती प्लगइनच्या स्वतःच्या डेटा शब्दकोशात राहतात। FortiSSL प्रोफाइल आणि IPsec प्रोफाइल एकच नावे वापरतीलच असे नाही, म्हणून तुमच्या स्वतःच्या प्रोफाइलच्या आउटपुटवरून काम करा।

त्या प्रोटोकॉलचे प्लगइन पॅकेज स्थापित आहे याचीही खात्री करा। गहाळ प्लगइन अज्ञात कनेक्शन प्रकार म्हणून किंवा पासवर्डबद्दल काहीही न सांगणारी सक्रियता त्रुटी म्हणून दिसते, आणि त्या स्थितीत गुप्ततेमागे धावणे तोच तास दोनदा वाया घालवते। एक पॅकेज क्वेरी कीफाइल्स संपादित करण्याच्या संपूर्ण दुपारपेक्षा स्वस्त आहे।

गुप्तता कीफाइलमध्ये हलवा

कनेक्शन फाइल /etc/NetworkManager/system-connections/ अंतर्गत असते। गुप्तता तिथे डीफॉल्टनुसार ठेवल्या जात नाहीत, आणि तुम्ही नुकतीच वाचलेल्या फ्लॅगचा अर्थ तोच आहे। फ्लॅग शून्यावर बदलल्याने NetworkManagerला कळते की मूल्य प्रोफाइलसोबत साठवले आहे, सक्रियतेच्या वेळी मागितले जात नाही।

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

दोन गुप्तता असलेल्या प्रोफाइलसाठी नमुना पुनरावृत्त होतो: [vpn] विभागात प्रत्येक गुप्ततेसाठी एक फ्लॅग, आणि मूल्ये [vpn-secrets] मध्ये। IPsec प्रोफाइल सामान्यतः वापरकर्ता क्रेडेन्शियलसोबत पूर्व-सामायिक की घेऊन येते, आणि प्लगइन त्या सामान्य पासवर्ड फील्डपेक्षा वेगळ्या नावाने ओळखते, म्हणून की नावे vpn.data आउटपुटमधून कॉपी करा, दुसरे प्लगइन वापरलेल्या ब्लॉग पोस्टमधून नाही। एक की नाव चुकल्यास लोड होऊन नंतर प्रमाणीकरणात अयशस्वी होणारे प्रोफाइल तयार होते, जे अगदी चुकीच्या पासवर्डसारखे वाचले जाते। पुन्हा जोडण्यापूर्वी तुमच्या फाइलची त्याच प्लगइनच्या कार्यरत प्रोफाइलशी तुलना करा।

रिकाम्या जागा, अवतरण चिन्हे किंवा डॉलर चिन्ह असलेली मूल्ये अवतरणात ठेवा। $ असलेले अवतरणविरहित मूल्य जिथे पार्स होते त्यानुसार शब्दशः वाचले जाईल किंवा विस्तारित होईल, आणि त्यातून येणारी प्रमाणीकरण अयशस्वीता चुकीच्या पासवर्डसारखी दिसते।

नंतर फाइलची मालकी आणि मोड दुरुस्त करा। या कीफाइल्स विशेषाधिकारप्राप्त सेवा वाचते, आणि इतर वापरकर्ते वाचू शकतील अशी फाइल अविश्वासार्ह मानली जाते, जे संपादित प्रोफाइल दुर्लक्षित वाटण्याचे नेहमीचे कारण आहे। मालक root, मोड 600, अपवाद नाहीत।

पुन्हा लोड करा, नंतर सक्रिय करा

कनेक्शन लोड होताना फाइल वाचली जाते, म्हणून ती संपादित करणे पुरेसे नाही। प्रोफाइल पुन्हा लोड करा आणि नंतर कनेक्शन स्पष्टपणे वर उचला।

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

पुन्हा लोड करण्याने बदल घेतला नाही तर सेवेचा पूर्ण पुनःप्रारंभ तो घेतो, आणि याबद्दल तंतोतंत अहवाल आहेत। इतर लिंक महत्त्वाच्या असतील तेव्हा पुन्हा लोड करण्यास प्राधान्य द्या, कारण सेवा पुनःप्रारंभ केल्याने प्रत्येक व्यवस्थापित कनेक्शन तुटते, आणि दूरच्या होस्टवर ते तुम्हाला हवे असलेले टनल वर येण्यापूर्वी तुमचे सत्र संपवू शकते।

नावे अस्पष्ट असतील तेव्हा UUID वापरा। अनेक ग्राहक प्रोफाइल असलेल्या मशीनमध्ये जवळपास-प्रती वाढतात, आणि चुकीचे सक्रिय केल्याने क्रेडेन्शियल समस्येसारखे वाटणारे अपयश येते।

जेव्हा साठवलेली गुप्तता ही समस्या नसते

FortiSSL प्रोफाइल बरोबर साठवलेल्या क्रेडेन्शियलसहही अयशस्वी होऊ शकते कारण क्लायंट गेटवेच्या प्रमाणपत्रावर कधीही विश्वास ठेवत नाही। ते सेटिंग मुख्य संवादात नाही; ते VPN च्या प्रगत पर्यायांमागे आहे, जिथे विश्वसनीय प्रमाणपत्राचा डायजेस्ट प्रविष्ट केला जातो। लॉग पासवर्डऐवजी प्रमाणपत्राचा उल्लेख करत असेल, तर तुम्ही या शाखेत आहात आणि [vpn-secrets] संपादित करण्याच्या कोणत्याही प्रमाणात मदत होणार नाही।

इथे आणखी दोन तपासण्या येतात। प्लगइन वाचू शकत नाही अशा मार्गाकडे अजूनही निर्देश करणाऱ्या फाइलमधून प्रोफाइल आयात झाले नाही याची खात्री करा, आणि प्रोफाइल सक्रिय आहे, जुनी प्रत नाही याची खात्री करा। दोन्ही प्रमाणीकरण त्रुटींसारखी वाचली जाणारी सक्रियता अपयशे निर्माण करतात।

साठवणे स्वीकारार्ह आहे का ते ठरवा

साठवलेला PSK आणि पासवर्ड त्या मशीनवर root म्हणून चालणाऱ्या कोणत्याही गोष्टीला वाचता येतो। तुम्ही नियंत्रित करता अशा मशीनवर, ग्राफिकल इंटरफेशिवाय सेवेसाठी ही वाजवी अदलाबदल आहे। सामायिक होस्टवर ती चर्चेस पात्र आहे, कारण प्रोफाइलमध्ये आता पूर्वी डेस्कटॉप कीरिंगने संरक्षित केलेले क्रेडेन्शियल आहे। निर्णय घेण्यापूर्वी त्या होस्टवर root पर्यंत दुसरे कोण पोहोचू शकते ते विचारा, बदल लागू झाल्यानंतर नाही।

धोरण साठवलेल्या VPN गुप्तता प्रतिबंधित करत असेल, तर cron कार्य चालण्यासाठी प्रोफाइल कमकुवत करू नका। एजंट असलेल्या सत्रातून कनेक्शन चालवा, किंवा ऑटोमेशनसाठी दुसरी यंत्रणा वापरा।

शेवटी, कोणत्या प्रोफाइलमध्ये गुप्तता आहेत ते नोंदवा जेणेकरून कोणीही लक्ष न देता एक लॅपटॉपवर कॉपी करणार नाही। तारीख आणि कारणासह गुप्तता विभागाच्या वर एक टिप्पणी पुरेशी आहे, आणि ती नंतर कोणालातरी अस्वस्थ पुनरावलोकनापासून वाचवेल।