Agent Polkit sau agent secret: ce solicitare lipsește?

Citiți textul dialogului înainte de a atinge vreo configurație. O solicitare cere autoritatea de a schimba rețeaua mașinii; cealaltă cere secretul de care are nevoie o conexiune. Ele vin din componente diferite, eșuează din motive diferite, iar repararea uneia nu o repară niciodată pe cealaltă. Mesajul numește cu care dintre ele aveți de-a face.

Începeți cu acel nume și nu cu VPN-ul, care este doar motivul pentru care a fost cerută operațiunea.

Ce solicitare vă lipsește de fapt?

O solicitare de autorizare locală înseamnă că desktopul întreabă dacă acest utilizator poate executa o operațiune privilegiată. O solicitare de secret înseamnă că depozitul de conexiuni are nevoie de o parolă, de o frază de cheie sau de un token înainte ca tunelul să poată fi construit. La prima răspunde un agent de autentificare din sesiunea dumneavoastră; la a doua, un agent secret la care poate ajunge serviciul de gestionare a rețelei. Dacă mesajul spune că nu a fost găsit niciun agent de autentificare, încă nu a fost cerută nicio parolă VPN.

Această ordine contează atunci când raportați problema. Contextul lansării, operațiunea locală cerută, rezultatul autorizării și orice eroare de conexiune ulterioară sunt patru fapte separate, iar combinarea lor produce un raport pe care nimeni nu poate acționa.

Agentul Polkit trăiește în sesiunea dumneavoastră

Polkit ține o operațiune de sistem privilegiată separată de programul obișnuit care o cere, iar un agent din sesiunea utilizatorului prezintă acea interacțiune. Un desktop ușor, un lansator pornit dintr-un terminal gol sau o sesiune care și-a pierdut agentul pot lăsa acea interacțiune indisponibilă. Verificați cum a fost pornită aplicația înainte de a presupune că politica este greșită. O sesiune doar cu text are nevoie de propriul agent acceptat, nu de unul grafic împrumutat din altă conectare.

Copierea adreselor magistralei de sesiune sau a variabilelor de afișare din mediul altui utilizator nu este un plan de autorizare. Aceasta produce o sesiune care pare conectată și totuși nu poate răspunde corect solicitării.

Agentul secret furnizează altceva

Serviciul de gestionare a rețelei cere unui agent secret acreditări pe care nu le stochează, iar agentul arată acea cerere utilizatorului. Un client de linie de comandă cu propria solicitare interactivă este un astfel de agent; shell-ul desktopului furnizează de obicei altul. Disponibilizarea unui secret nu acordă autoritatea de a modifica rețeaua sistemului, iar repararea autorizării locale nu creează o acreditare lipsă. Un flux de lucru poate avea nevoie de ambele răspunsuri, și întotdeauna în acea ordine.

Dacă dialogul secretului nu apare niciodată, uitați-vă la ce agent poate ajunge serviciul și nu la politica polkit.

Reparați sesiunea, nu nivelul de privilegiu

Folosiți agentul acceptat al desktopului și integrarea la pornire în loc să rulați întreaga interfață VPN ca root. Dacă dați fiecărui utilizator administrare de rețea necondiționată sau dezactivați serviciul de autorizare, schimbați un dialog lipsă pe o gaură permanentă. Pe echipamente administrate, administratorul poate cere în mod deliberat un operator aprobat, iar corectarea potrivită este să lucrați în cadrul acelei decizii. Verificați vizualizarea permisiunilor acceptate pentru a vedea ce poate solicita utilizatorul curent.

Nu contopiți răspunsul local în rezultatul autentificării gateway-ului; sunt două evenimente. Nici un dialog secret interactiv într-un terminal nu scutește pe nimeni de politica de autorizare, oricât de comod ar părea.

Notați ce agent a răspuns, în ce sesiune și ce s-a întâmplat după aceea.