nmcli tot cere parola VPN: stocați secretul local

Același profil, două sesiuni: se conectează de pe desktop și rămâne blocat prin SSH pe un prompt la care nimic nu poate răspunde. Nimic nu este stricat și nicio setare nu s-a pierdut. NetworkManager cere acreditările de la un agent de secrete, iar agentul de secrete este o componentă de desktop care nu există în sesiunea pe care o folosiți.

Rulați secvența de mai jos și tunelul urcă fără interfață grafică, cu rezerva că stocarea unui secret schimbă cine poate folosi acel profil.

Confirmați diagnosticul înainte de a modifica ceva

Diferența dintre activarea interactivă și cea neinteractivă este întregul diagnostic. Dacă nmcli --ask connection up reușește în timp ce o activare obișnuită se blochează, profilul este corect și lipsește sursa secretului. Acea singură comparație vă scutește de rescrierea unei configurații care funcționează.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Citiți steagurile în loc să le ghiciți. Valorile care înseamnă "întreabă un agent" sunt ceea ce căutați, iar numele exacte ale cheilor diferă între pluginurile VPN pentru că trăiesc în dicționarul de date al pluginului însuși. Un profil FortiSSL și un profil IPsec nu folosesc neapărat aceleași nume, așa că lucrați pornind de la ieșirea propriului profil.

Confirmați și că pachetul pluginului pentru acel protocol este instalat. Un plugin lipsă apare ca un tip de conexiune necunoscut sau ca o eroare de activare care nu spune nimic despre parole, iar goana după secret în acea stare pierde aceeași oră de două ori. O singură interogare de pachete costă mai puțin decât o după-amiază întreagă de editare a fișierelor de chei.

Mutați secretul în fișierul de chei

Fișierul de conexiune se află sub /etc/NetworkManager/system-connections/. Secretele nu sunt păstrate acolo implicit, și acesta este sensul steagurilor pe care tocmai le-ați citit. Schimbarea unui steag la zero îi spune NetworkManager că valoarea este stocată împreună cu profilul, nu cerută la activare.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Pentru un profil cu două secrete, modelul se repetă: un steag per secret în secțiunea [vpn], iar valorile în [vpn-secrets]. Un profil IPsec poartă de obicei o cheie prepartajată lângă acreditarea utilizatorului, iar pluginul le numește diferit față de un câmp de parolă obișnuit, așa că copiați numele cheilor din ieșirea vpn.data, nu dintr-un articol de blog care a folosit alt plugin. Un singur nume de cheie greșit produce un profil care se încarcă și apoi eșuează la autentificare, ceea ce se citește exact ca o parolă greșită. Comparați fișierul vostru cu un profil funcțional al aceluiași plugin înainte de a vă reconecta.

Puneți între ghilimele valorile care conțin spații, ghilimele sau semnul dolar. O valoare fără ghilimele cu un $ în ea va fi citită literal sau extinsă în funcție de locul unde este parsată, iar eșecul de autentificare rezultat arată ca o parolă greșită.

Apoi corectați proprietarul și modul fișierului. Aceste fișiere de chei sunt citite de un serviciu privilegiat, iar un fișier pe care alți utilizatori îl pot citi este considerat nesigur, ceea ce este motivul obișnuit pentru care un profil editat pare ignorat. Proprietar root, mod 600, fără excepții.

Reîncărcați, apoi activați

Fișierul este citit la încărcarea conexiunii, așa că editarea lui nu este suficientă. Reîncărcați profilurile și apoi ridicați conexiunea în mod explicit.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Dacă reîncărcarea nu prinde modificarea, o repornire completă a serviciului o prinde, și există rapoarte exact despre asta. Preferați reîncărcarea când contează alte legături, pentru că repornirea serviciului întrerupe fiecare conexiune gestionată, iar pe un host la distanță asta poate încheia sesiunea înainte ca tunelul dorit să fie sus.

Folosiți UUID când numele sunt ambigue. Mașinile cu mai multe profiluri de client acumulează aproape-duplicate, iar activarea celui greșit produce o eroare care arată ca o problemă de acreditări.

Când secretul stocat nu este problema

Un profil FortiSSL poate eșua chiar și cu acreditări stocate corecte pentru că clientul nu are încredere niciodată în certificatul gateway-ului. Setarea nu este în dialogul principal; se află în spatele opțiunilor avansate pentru VPN, unde se introduce rezumatul certificatului de încredere. Dacă jurnalul menționează certificatul în locul parolei, sunteți în această ramură și nicio cantitate de editare a [vpn-secrets] nu va ajuta.

Aici intră încă două verificări. Confirmați că profilul nu a fost importat dintr-un fișier care încă indică o cale pe care pluginul nu o poate citi, și confirmați că profilul este cel activ, nu un duplicat învechit. Ambele produc eșecuri de activare care se citesc ca erori de autentificare.

Decideți dacă stocarea este acceptabilă

O PSK și o parolă stocate pot fi citite de orice rulează ca root pe acea mașină. Pe o mașină pe care o controlați, este un schimb rezonabil pentru un serviciu fără interfață. Pe un host partajat, merită o discuție, pentru că profilul conține acum o acreditare care era protejată anterior de inelul de chei al desktopului. Întrebați cine altcineva poate ajunge la root pe acel host înainte de a decide, nu după ce schimbarea este aplicată.

Dacă politica interzice stocarea secretelor VPN, nu slăbiți profilul ca să funcționeze o sarcină cron. Rulați conexiunea dintr-o sesiune care are un agent sau folosiți alt mecanism pentru automatizare.

În final, notați ce profiluri poartă secrete, ca nimeni să nu copieze unul pe un laptop fără să observe. Un comentariu deasupra secțiunii de secrete cu data și motivul este suficient și va scuti pe cineva de o revizuire incomodă mai târziu.