Editor VPN jauh melalui SSH: mesin mana yang anda edit?

Pemajuan X11 meletakkan tetingkap editor pada komputer riba anda sementara prosesnya terus berjalan pada hos jauh. Jurang itulah keseluruhan perangkapnya: anda melihat tetingkap setempat dan mengedit profil jauh, dan andaian salah tentang mesin mana yang memiliki perubahan boleh memutuskan pautan SSH yang anda gunakan. Senarai semak di bawah menetapkan hos dan profil sebelum apa-apa disimpan. Setiap langkah mempunyai syarat berhenti, jadi kegagalan awal murah.

Langkah 1: namakan mesin yang memiliki profil itu

Jalankan arahan identiti dalam shell yang akan anda konfigurasikan, dan baca jawapannya dan bukan menganggapnya daripada gesaan. Nama hos dalam gesaan ialah rentetan yang dicetak oleh shell anda; nama hos kernel ialah yang dipercayai oleh seluruh senarai ini. Jika kedua-duanya tidak sepadan, anda berada pada mesin yang salah atau gesaan itu dihiasi oleh shell setempat anda. Berhenti dan sambung semula ke hos yang dimaksudkan sebelum meneruskan.

hostnamectl
hostname -f
ip -brief address

Soalan seterusnya ialah sama ada mesin ini patut menyimpan VPN itu. Mengkonfigurasi klien komputer riba dan mengkonfigurasi klien hos jauh menghasilkan laluan, DNS dan mod kegagalan yang berbeza. Tentukan yang mana anda maksudkan sebelum menyentuh profil, dan tuliskan keputusan itu di tempat orang seterusnya akan menemuinya.

Langkah 2: baca profil melalui UUID, bukan label

NetworkManager mengenal pasti sambungan melalui UUID, manakala nama ialah label yang boleh diedit atau diduplikasi oleh sesiapa sahaja. Senaraikan kedua-duanya dan padankan entri yang benar-benar anda maksudkan, terutamanya pada hos yang telah mengimport beberapa profil VPN selama bertahun-tahun.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Entri tersimpan dan sambungan aktif menjawab soalan yang berbeza: yang pertama menyenaraikan apa yang wujud, yang kedua menyenaraikan apa yang membawa trafik sekarang. Baris kebenaran menerangkan dasar setempat untuk sesi anda dan tidak menyatakan apa-apa tentang sama ada gerbang VPN akan menerima akaun itu. Jika profil yang anda perlukan tiada dalam senarai tersimpan, berhenti di sini, kerana mengedit entri yang salah lebih buruk daripada tidak mengedit sama sekali.

Setelah anda mempunyai UUID, letakkan dalam pemboleh ubah dan gunakan pemboleh ubah itu dalam setiap arahan berikutnya. Itu menghapuskan satu kelas kesilapan salin dan tampal serta menjadikan transkrip boleh dihasilkan semula.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Langkah 3: tentukan sama ada editor grafik ialah alat yang betul

Editor yang memerlukan gesaan polkit atau ejen rahsia tidak akan mendapatnya hanya kerana tetingkapnya muncul pada komputer riba anda. Komponen itu berjalan dalam konteks sesi jauh, dan memajukan paparan tidak memajukannya. Jika editor gagal menyimpan dengan ralat kebenaran atau rahsia, paparan bukan masalahnya.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH mendayakan pemajuan X11 dengan -X dan mendokumenkan kehati-hatian yang menyertainya: hos jauh boleh mencapai paparan setempat anda, yang merupakan sempadan kepercayaan sebenar. Pemajuan dipercayai dengan -Y membuang sebahagian pemeriksaan itu dan tidak sepatutnya menjadi pembetulan refleks untuk aplikasi yang gagal di bawah tetapan lalai. Jika organisasi anda menerbitkan kaedah pentadbiran jauh, gunakan kaedah itu dan bukan mencipta varian. Dalam kebanyakan kes editor baris arahan ialah permukaan yang lebih kecil dan jawapan yang lebih baik.

Berhenti di sini jika satu-satunya laluan yang berfungsi memerlukan -Y dan anda tidak dapat menjelaskan mengapa. Itu keputusan pemilik dasar keselamatan, bukan jalan pintas untuk disimpan dalam skrip peribadi.

Langkah 4: kekalkan laluan pemulihan sebelum anda mengaktifkan apa-apa

Perubahan VPN boleh membuang laluan yang menjadi sandaran sesi SSH anda, jadi sediakan jalan pulang sebelum mengaktifkan profil. Akses konsol, alamat pengurusan luar jalur atau gulung balik berjadual semuanya dikira; harapan bahawa perubahan itu berjaya tidak dikira.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktifkan hanya profil yang dimaksudkan, kemudian sahkan dari hos jauh: laluan lalai, laluan balik SSH dan satu sumber yang sepatutnya boleh dicapai melalui terowong. Semakan berjaya dari komputer riba anda menguji laluan komputer riba dan tidak menyatakan apa-apa tentang hos jauh. Jika sesi terputus, gunakan laluan pemulihan dan bukan menyambung semula secara membuta tuli. Menyimpan profil bukan pengaktifan, dan pengaktifan bukan pengesahan.

Rekodkan UUID, nilai sifat yang anda ubah dan arahan yang anda gunakan untuk mengesahkannya. Orang seterusnya yang menyentuh hos ini akan memerlukan ketiga-tiganya, dan transkrip lebih bernilai daripada ringkasan yang menyatakan VPN telah dibaiki. Senarai semak yang berakhir tanpa nota gulung balik ialah separuh senarai.