OpenVPN menunggu permintaan kata laluan systemd: patutkah anda menjawabnya?

Mesej tentang systemd-tty-ask-password-agent muncul di terminal, dan terowong tidak aktif. Bacaan yang menggoda ialah VPN menolak kata laluan dan sesuatu kini menunggu pembetulan. Lebih tepat dikatakan bahawa sesuatu perkhidmatan meminta systemd input interaktif, dan permintaan itu belum dijawab. Perkhidmatan mana yang bertanya dan rahsia apa yang dikehendakinya ialah dua soalan yang boleh anda selesaikan sebelum menaip apa-apa.

Dua syarat menentukan siapa yang patut menjawab

Syarat pertama ialah sama ada anda memulakan instans ini dengan sengaja. Permintaan yang menyusuli tindakan anda ialah milik anda untuk dijawab, dan yang muncul tanpa tindakan yang sepadan adalah milik sesuatu yang lain. Syarat kedua ialah sama ada rahsia itu pengesahan akaun atau perlindungan kunci, kerana kedua-duanya hidup di tempat berbeza dan bergerak melalui laluan kod berbeza. Kedua-dua jawapan kelihatan dalam jurnal jika anda melihat sebelum bertindak.

Apabila kedua-dua jawapan jelas, keputusannya mudah: jawab melalui laluan permintaan yang disokong oleh perkhidmatan itu sendiri. Apabila mana-mana satu tidak jelas, langkah yang betul ialah menyiasat, bukan menaip kata laluan ke dalam permintaan yang tidak dapat anda kaitkan.

Itulah keseluruhan peraturannya, dan ia wajar dinyatakan sebelum arahan-arahan. Semua yang di bawah mengikut daripadanya.

Senaraikan permintaan sebelum anda menaip apa-apa

Ejen boleh menyenaraikan apa yang belum selesai tanpa menjawab apa-apa. sudo systemd-tty-ask-password-agent --list mencetak permintaan yang belum diselesaikan, dan output itu ialah bukti yang anda perlukan untuk menghubungkan permintaan dengan unit. Bacalah sebelum memberikan kelayakan, dan jauhkan keterangan permintaan daripada sebarang tampalan diagnostik awam.

Kaitkan senarai itu dengan operasi yang anda mulakan dan dengan unit yang memilikinya. Jika tiada apa-apa dalam senarai sepadan dengan tindakan anda, permintaan yang anda lihat adalah milik perkhidmatan lain dan bukan tugas anda untuk menyelesaikannya. Nama unit dalam senarai ialah satu-satunya pautan yang boleh dipercayai antara permintaan dan perkhidmatan.

Jangan jawab permintaan yang tidak dapat anda kaitkan. Kos menunggu ialah kelewatan, manakala kos menjawab permintaan yang salah ialah kelayakan di tempat yang salah.

Rahsia apa yang sebenarnya diperlukan oleh instans ini?

auth-user-pass berkaitan pengesahan akaun kepada perkhidmatan VPN, dan tanpa fail kelayakan tingkah laku yang didokumenkan ialah bertanya di konsol. askpass sebaliknya memperoleh frasa laluan yang membuka bahan kunci yang dilindungi, dan ia berbuat demikian sebelum proses berpindah ke latar belakang. Itu adalah rahsia berbeza dengan jangka hayat berbeza.

Format fail juga berbeza. Borang akaun menjangka satu baris nama pengguna dan satu baris kata laluan, manakala fail frasa laluan kunci membaca baris pertama sebagai kata laluannya. Menyalin resipi fail kelayakan daripada peranan lain biasanya menghasilkan permintaan lain dan bukan penyelesaian. Fail dengan bentuk yang salah lebih buruk daripada tiada fail, kerana kegagalannya berpindah ke tempat yang tiada siapa mengawasinya.

Semak arahan mana yang digunakan oleh instans sebelum memutuskan apa yang hendak ditaip. Nama arahan memberitahu anda untuk rahsia mana permintaan itu.

Apa yang --query lakukan yang --list tidak lakukan

--query memproses setiap permintaan yang belum selesai pada terminal pemanggil, yang merupakan tindakan jauh lebih luas daripada menjawab satu permintaan. Ia bukan pemilih OpenVPN, dan pada mesin yang sibuk ia boleh menjawab permintaan milik unit lain. Mod pantau lebih luas lagi, kerana ia terus mengendalikan permintaan apabila ia tiba.

Gunakan mekanisme paling sempit yang berfungsi. Untuk satu perkhidmatan, aliran permintaan perkhidmatan itu sendiri lebih sempit daripada ejen global, dan ia mengekalkan jawapan terikat kepada unit yang bertanya.

Menukar permintaan sekali menjadi ejen global tanpa pengawasan kerana satu pemberitahuan muncul sekali ialah cara gangguan sementara menjadi reka bentuk kekal. Awas yang sama terpakai untuk melumpuhkan unit pemberitahuan kata laluan di seluruh hos.

Putuskan, kemudian catat pilihan itu

Untuk penggunaan tanpa pengawasan, persetujui sumber kelayakan, kebenaran fail dan jadual pembaharuan dengan pemilik sambungan. Faktor kedua interaktif mungkin memerlukan orang atau identiti perkhidmatan khusus. Menekan permintaan tidak menghasilkan pengesahan itu, dan membuang auth-user-pass hanya merosakkan perkhidmatan yang memerlukannya.

Selepas interaksi, lihat instans yang sama untuk peristiwanya yang seterusnya dan uji sumber peribadi. Jika tiada apa-apa yang belum selesai, kembalilah kepada keadaan instans dan bukannya memulakan setiap unit OpenVPN pada hos.