openvpn3 session-start jinjora l-fajl tal-kredenzjali tiegħek

Qabbad mal-klijent 2.x u l-profil jaħdem; għaddi l-istess fajl lill-klijent 3.x u jieqaf fuq prompt tal-password. Għaddi --auth-user-pass creds.txt lil openvpn3 session-start u r-riżultat huwa l-istess, għax il-klijent il-ġdid m'għandux stadju li jaqra l-fajl. Ir-rifjut huwa volontarju: il-kredenzjali jappartjenu lil sessjoni, u sessjoni tinħoloq minn servizz, mhux mill-proċess fit-terminal tiegħek. Agħżel bejn il-prompt interattiv u l-assistent autoload, u aqbad x'jaħżen kull wieħed.

Għaliex il-fajl salvat m'għandux fejn imur

Fid-disinn il-ġdid, il-ġestjoni tal-konfigurazzjoni u l-ġestjoni tas-sessjonijiet huma servizzi separati li jitkellmu fuq il-bus tas-sistema. Din is-separazzjoni hija li tippermetti lil utent ordinarju jibda sessjoni mingħajr daemon privileġġat ma jaqra fajl tal-password protett f'ismu. Kredenzjali bbażati fuq fajls m'għandhomx post f'dak il-mudell, għax m'hemmx tħaddim mill-ġenb tad-daemon li jaqrahom. Ir-rifjut huwa konsegwenza tal-arkitettura, mhux funzjoni nieqsa.

Il-mudell antik jistħoqqlu jissemma biex ikun aktar faċli li ninsewh: profil jirreferi għal fajl tal-kredenzjali, u d-daemon jaqrah meta jibda t-tunnel. Fil-mudell il-ġdid, il-kredenzjali jappartjenu lil sessjoni u jiġu pprovduti meta tibda dik is-sessjoni. openvpn3 session-start --config work.ovpn jitlobhom, u --auth-user-pass creds.txt jiġi miċħud għax xejn f'dik it-triq ma jiftaħ il-fajl. Kull riċetta 2.x li ssib tassumi stadju li m'għadux jeżisti.

Il-konfigurazzjoni u s-settings lokali tas-sit huma wkoll separati, u dan jispjega t-tieni sorpriża. Profil jista' jidher komplet filwaqt li l-konnessjoni li jipproduċi tonqosha l-konfigurazzjoni tal-routing u r-resolver. Dawk il-partijiet jiġu applikati bħala settings lokali tas-sit, separatament mill-fajl importat.

It-triq tal-prompt u s-sessjoni li tħalli

L-għoti tal-password meta tibda s-sessjoni huwa l-fluss tax-xogħol maħsub. Il-klijent jistaqsi darba, jgħaddi l-kredenzjali lill-backend tas-sessjoni, u jkompli:

openvpn3 session-start --config work.ovpn
openvpn3 sessions-list

B'dik it-triq xejn ma jinkiteb fuq id-diska. Is-sessjoni tibqa' taħdem wara li jingħalaq it-terminal, u dan jissorprendi lil dawk li jistennew li l-proċess imut mal-qoxra tagħhom. Dan huwa l-punt li l-immaniġġjar tas-sessjonijiet jgħaddi għal servizz. Is-sessjoni tgħix aktar mit-terminal li talabha, u trid titwaqqaf b'mod espliċitu.

Għal workstation b'persuna quddiemha, din hija wkoll l-għażla l-aktar sigura, għax m'hemmx sigriet maħżun x'jiġi protett jew minsusi. Mhijiex adattata biss fejn m'hemmx min jittajpja.

Awtomazzjoni mingħajr persuna fuq it-tastiera

Fejn magna trid tikkonnettja mingħajr persuna, il-proġett joffri openvpn3-autoload. Dan jaqra direttorju ta' profili u deskrittur li jaqbel ma' kull profil, u d-deskrittur jipprovdi l-kredenzjali fi test ċar. L-assistent huwa binariu separat, normalment f'/usr/sbin/openvpn3-autoload, mhux bandiera fuq session-start. Li tħejjih ifisser li toħloq id-direttorju, tikkopja l-profil bl-isem li jistenna d-deskrittur, u tikteb id-deskrittur.

Setup għal kull utent jidher hekk, immexxi bħala l-kont li se jkollu s-sessjoni. Il-modalità tad-direttorju żżomm lil utenti lokali oħra barra:

mkdir -m700 -p ~/.openvpn3/autoload
cp work.ovpn ~/.openvpn3/autoload/client.conf
$EDITOR ~/.openvpn3/autoload/client.autoload

Id-deskrittur isemmi l-kredenzjali u jitlob bidu awtomatiku. Żomm il-valur tal-password barra mill-kontroll tal-verżjonijiet:

{
  "autostart": true,
  "user-auth": {
    "autologin": true,
    "username": "svc-vpn",
    "password": "change-this-value"
  }
}

Imbagħad sejjaħ l-assistent darba u kkonferma li s-sessjoni tidher. It-tieni kmand huwa l-verifika, mhux pass ieħor tas-setup:

/usr/sbin/openvpn3-autoload --directory ~/.openvpn3/autoload
openvpn3 sessions-list

Fil-boot, unità ppakkjata bl-isem openvpn3-autoload.service tuża d-direttorju tas-sistema kollha /etc/openvpn3/autoload, mhux dak ta' kull utent. Dak il-post għandu bżonn sjieda ta' root u modalità aktar stretta, u d-deskrittur xorta jżomm il-password fi test ċar. Il-kompromess huwa espliċitu: il-password issa tinsab fuq id-diska, għalhekk ittratta dak id-direttorju bħala sigriet, eskludih mill-backups barra l-host, u agħżel it-triq interattiva kull meta tkun preżenti persuna.

Fallimenti tal-bus li jidhru bħal fallimenti tal-password

Xi fallimenti attribwiti lill-kredenzjali mhumiex xejn ta' xorta. Żball ta' permess li jsemmi t-triq tal-attivazzjoni tas-servizz ifisser waħda minn tnejn: il-backend mhuwiex miexi, jew min jitlob m'għandux permess jattivah. L-ebda editjar tal-profil mhu se jbiddel lanqas waħda. Iċċekkja l-istat tas-servizz u l-politika tal-bus fornuta qabel ma tmiss il-konfigurazzjoni.

Il-kmandi t'hawn taħt jifirdu t-tnejn. L-ewwel wieħed jirrapporta jekk il-backend huwiex miexi; it-tieni juri l-iżbalji reċenti tal-bus:

systemctl status openvpn3-service-client
journalctl -b -u openvpn3-service-client --no-pager | tail -20

Qari ħażin ieħor frekwenti huwa sessjoni li tidher u mbagħad tisparixxi mill-ewwel. Dan il-mudell normalment ifisser li s-settings lokali tas-sit qatt ma ġew applikati, għalhekk it-tunnel tela' mingħajr ir-rotot u l-bidliet tar-resolver li jagħmluh utli. Aqra s-sekwenza u mhux l-aħħar linja: jekk is-sessjoni nħolqitx, jekk laħqitx stat konness, u jekk għaddietx minn dan huma tliet fatti separati.

Meta l-klijent il-qadim għadu jintuża

Il-klijent 2.x għadu jaċċetta fajl tal-kredenzjali, u keyring jista' jwieġeb il-prompt tiegħu mingħajr is-sigriet qatt ma jasal fuq id-diska. Wrapper jissolva l-entrata, għalhekk il-fajl isemmi t-tfittxija u mhux il-password. Dan l-arranġament jiddependi fuq keyring mhux imsakkar, li kontenitur mingħajr sessjoni tal-login jew unità li tibda qabel ma jidħol xi ħadd ma jistgħux jipprovdu. Imbagħad l-għodda tat-tfittxija tirrapporta kollezzjoni li ma tistax tikteb fiha, għalhekk l-iżball jidher bħal falliment tal-kredenzjali meta huwa falliment tal-keyring.

Qabel tibni xi ħaġa minn dan, iċċekkja jekk setting tal-keepalive fil-profil jeliminax għal kollox il-ħtieġa li terġa' tibda. Sessjoni li tibqa' miftuħa qatt ma tasal għall-prompt li qed tipprova tawtomatizza.