Agente Polkit ou agente secreto: qual pedido está faltando?

Leia o texto do diálogo antes de tocar em qualquer configuração. Um pedido pede autoridade para mudar a rede da máquina; o outro pede o segredo de que uma conexão precisa. Eles vêm de componentes diferentes, falham por motivos diferentes, e consertar um nunca conserta o outro. A mensagem nomeia com qual dos dois você está lidando.

Comece por esse nome e não pela VPN, que é apenas o motivo pelo qual a operação foi solicitada.

Qual pedido está realmente faltando para você?

Um pedido de autorização local significa que a área de trabalho pergunta se este usuário pode executar uma operação privilegiada. Um pedido de segredo significa que o armazenamento de conexões precisa de uma senha, de uma frase de chave ou de um token antes que o túnel possa ser construído. O primeiro é respondido por um agente de autenticação na sua sessão; o segundo, por um agente secreto que o serviço de gestão de rede consegue alcançar. Se a mensagem diz que nenhum agente de autenticação foi encontrado, nenhuma senha de VPN foi pedida ainda.

Essa ordem importa quando você relata o problema. O contexto de lançamento, a operação local solicitada, o resultado da autorização e qualquer erro de conexão posterior são quatro fatos separados, e juntá-los produz um relatório sobre o qual ninguém pode agir.

O agente Polkit vive na sua sessão

O Polkit mantém uma operação privilegiada do sistema separada do programa comum que a pede, e um agente na sessão do usuário apresenta essa interação. Uma área de trabalho leve, um lançador iniciado a partir de um terminal nu ou uma sessão que perdeu o seu agente podem deixar essa interação indisponível. Verifique como a aplicação foi iniciada antes de supor que a política está errada. Uma sessão apenas de texto precisa do seu próprio agente suportado, não de um gráfico emprestado de outro login.

Copiar endereços do barramento de sessão ou variáveis de exibição do ambiente de outro usuário não é um plano de autorização. Isso produz uma sessão que parece conectada e ainda assim não consegue responder corretamente ao pedido.

O agente secreto fornece outra coisa

O serviço de gestão de rede pede a um agente secreto credenciais que ele não armazena, e o agente mostra esse pedido ao usuário. Um cliente de linha de comando com o seu próprio pedido interativo é um desses agentes; o shell da área de trabalho normalmente fornece outro. Disponibilizar um segredo não concede autoridade para modificar a rede do sistema, e reparar a autorização local não cria uma credencial que falta. Um fluxo de trabalho pode precisar das duas respostas, e sempre nessa ordem.

Se o diálogo do segredo nunca aparece, olhe para qual agente o serviço consegue chegar e não para a política do polkit.

Repare a sessão, não o nível de privilégio

Use o agente suportado da área de trabalho e a integração de arranque em vez de executar toda a interface VPN como root. Dar a cada usuário administração de rede incondicional, ou desativar o serviço de autorização, troca um diálogo em falta por um buraco permanente. Em equipamento gerido, o administrador pode exigir deliberadamente um operador aprovado, e a correção certa é trabalhar dentro dessa decisão. Consulte a vista de permissões suportadas para ver o que o usuário atual pode solicitar.

Não funda a resposta local no resultado de autenticação do gateway; são dois eventos. Um diálogo de segredo interativo num terminal também não isenta ninguém da política de autorização, por conveniente que pareça.

Registe qual agente respondeu, em que sessão, e o que aconteceu a seguir.