Ekstern VPN-editor over SSH: kva maskin redigerer du?

X11-vidaresending set vindauget til editoren på den berbare datamaskinen din medan prosessen held fram med å køyre på den eksterne verten. Dette gapet er heile fellen: du ser på eit lokalt vindauge og redigerer ein ekstern profil, og ei feil oppfatning av kva maskin som eig endringa kan kutte SSH-sambandet du arbeider over. Sjekklista nedanfor fastset verten og profilen før noko blir lagra. Kvart steg har eit stoppvilkår, så ein tidleg feil er billeg.

Steg 1: namngi maskinen som eig profilen

Køyr identitetskommandoane i skalet du skal konfigurere, og les svaret i staden for å anta det frå ledeteksten. Eit vertsnamn i ledeteksten er ein streng skalet ditt skreiv ut; vertsnamnet til kjernen er det resten av denne sjekklista stolar på. Viss dei to er usamde, er du på feil maskin, eller ledeteksten er pynta av det lokale skalet ditt. Stopp og kople til den tiltenkte verten på nytt før du held fram.

hostnamectl
hostname -f
ip -brief address

Det neste spørsmålet er om denne maskinen i det heile skal halde VPN-en. Å konfigurere klienten til den berbare datamaskinen og å konfigurere klienten til den eksterne verten gir forskjellige ruter, forskjellig DNS og forskjellige feilmodusar. Bestem kva du meiner før du rører ein profil, og skriv avgjerda der neste person finn henne.

Steg 2: les profilen etter UUID, ikkje etter namn

NetworkManager identifiserer ei tilkopling etter UUID, medan namnet er ei etikett som kven som helst kan redigere eller duplisere. List begge og match oppføringa du faktisk meiner, særleg på ein vert der fleire VPN-profilar er importerte gjennom åra.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Lagrade oppføringar og aktive tilkoplingar svarar på forskjellige spørsmål: den første viser kva som finst, den andre viser kva som ber trafikk akkurat no. Tillatingslinja skildrar lokal politikk for økta di og seier ingenting om VPN-porten vil godta kontoen. Viss profilen du treng ikkje er i den lagra lista, stopp her, fordi å redigere feil oppføring er verre enn å ikkje redigere i det heile.

Når du har UUID-en, legg han i ein variabel og bruk den variabelen i kvar seinare kommando. Det fjernar ein heil klasse av kopier-og-lim-feil og gjer transkripsjonen reproduserbar.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Steg 3: avgjer om ein grafisk editor er rett verktøy

Ein editor som treng ei polkit-førespurnad eller ein hemmelegheitsagent, får ikkje det berre fordi vindauget hans viser seg på den berbare datamaskinen din. Desse komponentane køyrer i samanhengen til den eksterne økta, og vidaresending av ein skjerm vidaresender dei ikkje. Viss editoren ikkje kan lagre på grunn av ein autorisasjons- eller hemmelegheitsfeil, er skjermen ikkje problemet.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH slår på X11-vidaresending med -X og dokumenterer varsemda som følgjer med: den eksterne verten kan nå den lokale skjermen din, noko som er ei reell tillitsgrense. Betrudd vidaresending med -Y fjernar nokre av desse kontrollane og bør aldri vere refleksløysinga for eit program som feilar under standardinnstillingane. Viss organisasjonen din publiserer ein metode for fjernadministrasjon, bruk den i staden for å finne opp ein variant. I dei fleste tilfelle er kommandolinjeeditoren den mindre flata og det betre svaret.

Stopp her viss den einaste fungerande vegen krev -Y og du ikkje kan forklare kvifor. Det er ei avgjerd for den som eig tryggingspolitikken, ikkje ein omveg å oppbevare i eit personleg skript.

Steg 4: hald ein gjenopprettingsveg før du aktiverer noko

Ei VPN-endring kan fjerne ruta SSH-økta di er avhengig av, så ordna ein veg tilbake før du aktiverer profilen. Konsolltilgang, ei administrasjonsadresse utanfor band eller ei planlagd tilbakerulling tel alle; håpet om at endringa verkar tel ikkje.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktiver berre den tiltenkte profilen, og verifiser deretter frå den eksterne verten: standardruta, SSH-returvegen og éin ressurs som skal vere tilgjengeleg gjennom tunnelen. Ein vellukka kontroll frå den berbare datamaskinen testar vegen til den berbare datamaskinen og seier ingenting om den eksterne verten. Viss økta fell, bruk gjenopprettingsvegen i staden for å kople til på nytt i blinde. Å lagre ein profil er ikkje aktivering, og aktivering er ikkje verifisering.

Noter UUID-en, eigenskapane du endra og kommandoane du brukte for å verifisere dei. Den neste personen som rører denne verten treng alle tre, og ein transkripsjon er meir verdt enn eit samandrag som seier at VPN-en vart reparert. Ei sjekkliste som sluttar utan ei tilbakerullingsnotat, er ei halv sjekkliste.