OpenVPN ventar på ein systemd-passordførespurnad: bør du svare?

Det viser seg ei melding om systemd-tty-ask-password-agent i terminalen, og tunnelen er ikkje oppe. Den freistande lesinga er at VPN avviste eit passord og at noko no ventar på ei retting. Meir presist har ei teneste bede systemd om interaktiv inndata, og førespurnaden er ikkje svara enno. Kva teneste som spurde, og kva løyndom ho vil ha, er to spørsmål du kan avgjere før du skriv noko.

To vilkår avgjer kven som bør svare

Det første vilkåret er om du starta denne instansen med vilje. Ein førespurnad som følgjer ei handling du utførte, er din å svare på, og ein som dukkar opp utan ei tilsvarande handling, høyrer til noko anna. Det andre er om løyndomen er kontogodkjenning eller nøkkelvern, fordi dei bur på ulike stader og reiser gjennom ulike kodestiar. Begge svara er synlege i journalen om du ser før du handlar.

Når begge svara er klare, er avgjerda enkel: svar gjennom tenesta sin eigen støtta førespurnadsveg. Når ein av dei er uklår, er det rette trekket å undersøkje i staden for å skrive eit passord i ein førespurnad du ikkje kan tilordne.

Det er heile regelen, og han er verd å seie før kommandoane. Alt nedanfor følgjer av han.

List førespurnaden før du skriv noko

Agenten kan liste opp kva som er uteståande utan å svare på noko. sudo systemd-tty-ask-password-agent --list skriv ut dei opne førespurnadene, og den utskrifta er beviset du treng for å kople ein førespurnad til ei eining. Les han før du leverer ein legitimasjon, og hald førespurnadsbeskrivingar unna kvar offentleg diagnostisk innliming.

Korreler lista med operasjonen du starta, og med eininga som eig han. Om ingenting i lista passar med handlinga di, høyrer førespurnaden du såg til ei anna teneste og er ikkje din å løyse. Einingsnamnet i lista er den einaste pålitelege koplinga mellom ein førespurnad og ei teneste.

Ikkje svar på ein førespurnad du ikkje kan tilordne. Kostnaden ved å vente er ei forseinking, medan kostnaden ved å svare på feil førespurnad er ein legitimasjon på feil stad.

Kva løyndom treng instansen eigentleg?

auth-user-pass gjeld kontogodkjenning mot VPN-tenesta, og utan ein legitimasjonsfil er den dokumenterte åtferda å spørje på konsollen. askpass skaffar i staden passfrasen som låser opp verna nøkkelmateriale, og det gjer han før prosessen går i bakgrunnen. Det er ulike løyndomar med ulik levetid.

Filformata er òg ulike. Kontoforma ventar ei brukarnamnlinje og ei passordlinje, medan nøkkelpassfrasefila les den første linja som passordet sitt. Å kopiere ein legitimasjonsfiloppskrift frå den andre rolla gir vanlegvis nok ein førespurnad i staden for ei løysing. Ei fil med feil form er verre enn inga fil, fordi feilen flyttar til ein stad ingen overvakar.

Kontroller kva direktiv instansen brukar før du avgjer kva du skal skrive. Direktivnamnet fortel deg kva løyndom førespurnaden gjeld.

Kva --query gjer som --list ikkje gjer

--query handsamar kvar uteståande førespurnad på terminalen som kallar det, noko som er ei mykje breiare handling enn å svare på éin førespurnad. Det er ikkje ein OpenVPN-veljar, og på ein travel maskin kan det svare på førespurnader som høyrer til andre einingar. Overvakingsmodus er endå breiare, fordi det held fram med å handsame førespurnader etter kvart som dei kjem.

Bruk den smalaste mekanismen som fungerer. For éi teneste er førespurnadsflyten til tenesta sjølv smalare enn ein global agent, og han held svaret knytt til eininga som spurde.

Å gjere ein eingongsførespurnad om til ein ubemanna global agent fordi ei melding dukka opp éin gong, er måten ein mellombels irritasjon blir eit permanent design. Den same varsemda gjeld for å slå av passordvarsel-einingar på heile verten.

Avgjer, og registrer så valet

For ein ubemanna utrulling, avtal legitimasjonskjelda, filrettane og fornyingsplanen med den som eig tilkoplinga. Ein interaktiv annan faktor kan trenge ein person eller ein eigen tenesteidentitet. Å undertrykkje førespurnaden gir ikkje den godkjenninga, og å fjerne auth-user-pass øydelegg berre ei teneste som treng det.

Etter interaksjonen, sjå på den same instansen for den neste hendinga hans og test den private ressursen. Om ingenting er uteståande, gå tilbake til instansstatusen i staden for å starte kvar OpenVPN-eining på verten.