Externe VPN-editor via SSH: welke machine bewerkt u?

X11-doorsturen zet het venster van de editor op uw laptop terwijl het proces op de externe host blijft draaien. Die kloof is de hele val: u kijkt naar een lokaal venster en bewerkt een extern profiel, en een verkeerde aanname over welke machine de wijziging bezit kan de SSH-verbinding verbreken waarover u werkt. De checklist hieronder legt de host en het profiel vast voordat er iets wordt opgeslagen. Elke stap heeft een stopvoorwaarde, dus een vroege fout is goedkoop.

Stap 1: benoem de machine die het profiel bezit

Voer de identiteitsopdrachten uit in de shell die u gaat configureren, en lees het antwoord in plaats van het uit de prompt af te leiden. Een hostnaam in een prompt is een tekenreeks die uw shell heeft afgedrukt; de hostnaam van de kernel is waar de rest van deze lijst op vertrouwt. Als de twee niet overeenkomen, bent u op de verkeerde machine of is de prompt versierd door uw lokale shell. Stop en maak opnieuw verbinding met de bedoelde host voordat u verdergaat.

hostnamectl
hostname -f
ip -brief address

De volgende vraag is of deze machine de VPN überhaupt moet huisvesten. De client van de laptop configureren en de client van de externe host configureren leveren verschillende routes, verschillende DNS en verschillende storingsmodi op. Bepaal welke u bedoelt voordat u een profiel aanraakt, en schrijf de beslissing op waar de volgende persoon die vindt.

Stap 2: lees het profiel op UUID, niet op label

NetworkManager identificeert een verbinding op UUID, terwijl de naam een label is dat iedereen kan bewerken of dupliceren. Vermeld beide en koppel het item dat u werkelijk bedoelt, vooral op een host waar in de loop der jaren meerdere VPN-profielen zijn geïmporteerd.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Opgeslagen items en actieve verbindingen beantwoorden verschillende vragen: de eerste lijst toont wat bestaat, de tweede toont wat nu verkeer draagt. De regel met machtigingen beschrijft lokaal beleid voor uw sessie en zegt niets over of de VPN-gateway het account zal accepteren. Als het profiel dat u nodig hebt niet in de opgeslagen lijst staat, stop dan hier, want het verkeerde item bewerken is erger dan helemaal niet bewerken.

Zodra u de UUID hebt, zet die in een variabele en gebruik die variabele in elke latere opdracht. Dat verwijdert een hele klasse kopieer- en plakfouten en maakt het transcript reproduceerbaar.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Stap 3: beslis of een grafische editor het juiste gereedschap is

Een editor die een polkit-prompt of een geheimenagent nodig heeft, krijgt die niet alleen omdat zijn venster op uw laptop verschijnt. Die componenten draaien in de context van de externe sessie, en een scherm doorsturen stuurt ze niet door. Als de editor niet kan opslaan door een autorisatie- of geheimfout, is het scherm niet het probleem.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH schakelt X11-doorsturen in met -X en documenteert de voorzichtigheid die daarbij hoort: de externe host kan uw lokale scherm bereiken, wat een echte vertrouwensgrens is. Vertrouwd doorsturen met -Y verwijdert enkele van die controles en zou nooit de reflexoplossing moeten zijn voor een toepassing die onder de standaardinstellingen faalt. Als uw organisatie een methode voor extern beheer publiceert, gebruik die dan in plaats van een variant te bedenken. In de meeste gevallen is de commandoregel-editor het kleinere oppervlak en het betere antwoord.

Stop hier als het enige werkende pad -Y vereist en u niet kunt uitleggen waarom. Dat is een beslissing voor wie het beveiligingsbeleid bezit, geen omweg om in een persoonlijk script te bewaren.

Stap 4: houd een herstelpad voordat u iets activeert

Een VPN-wijziging kan de route verwijderen waarvan uw SSH-sessie afhankelijk is, dus regel een weg terug voordat u het profiel activeert. Consoletoegang, een out-of-band beheeradres of een geplande terugdraaiing tellen allemaal; de hoop dat de wijziging werkt telt niet.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Activeer alleen het bedoelde profiel en verifieer daarna vanaf de externe host: de standaardroute, de SSH-terugweg en één bron die via de tunnel bereikbaar zou moeten zijn. Een geslaagde controle vanaf uw laptop test de weg van de laptop en zegt niets over de externe host. Als de sessie wegvalt, gebruik het herstelpad in plaats van blind opnieuw te verbinden. Een profiel opslaan is geen activering, en activering is geen verificatie.

Noteer de UUID, de eigenschapswaarden die u hebt gewijzigd en de opdrachten die u hebt gebruikt om ze te verifiëren. De volgende persoon die deze host aanraakt, heeft alle drie nodig, en een transcript is meer waard dan een samenvatting die zegt dat de VPN is gerepareerd. Een checklist die eindigt zonder terugdraainotitie is een halve checklist.