Агент Polkit или агент секретов: какого запроса не хватает?

Прочитайте текст диалога, прежде чем трогать любую конфигурацию. Один запрос требует права изменить сеть машины; другой запрашивает секрет, который нужен соединению. Они приходят из разных компонентов, терпят неудачу по разным причинам, и исправление одного никогда не исправляет другое. Сообщение называет, с каким именно вы имеете дело.

Начинайте с этого имени, а не с VPN, который лишь причина, по которой операция была запрошена.

Какого запроса вам на самом деле не хватает?

Запрос локальной авторизации означает, что рабочий стол спрашивает, может ли этот пользователь выполнить привилегированную операцию. Запрос секрета означает, что хранилищу соединений нужен пароль, ключевая фраза или токен, прежде чем можно будет построить туннель. На первый отвечает агент аутентификации в вашем сеансе; на второй — агент секретов, до которого может добраться служба управления сетью. Если сообщение говорит, что агент аутентификации не найден, пароль VPN ещё не запрашивался.

Этот порядок важен, когда вы сообщаете о проблеме. Контекст запуска, запрошенная локальная операция, результат авторизации и любая последующая ошибка соединения — четыре отдельных факта, и их смешение даёт отчёт, с которым никто не сможет ничего сделать.

Агент Polkit живёт в вашем сеансе

Polkit держит привилегированную системную операцию отдельно от обычной программы, которая её запрашивает, а агент в сеансе пользователя показывает это взаимодействие. Лёгкий рабочий стол, лаунчер, запущенный из голого терминала, или сеанс, потерявший своего агента, могут оставить это взаимодействие недоступным. Проверьте, как было запущено приложение, прежде чем предполагать, что политика неверна. Сеансу только с текстом нужен собственный поддерживаемый агент, а не графический, позаимствованный из другого входа.

Копирование адресов шины сеанса или переменных экрана из окружения другого пользователя — не план авторизации. Это создаёт сеанс, который выглядит подключённым и всё равно не может правильно ответить на запрос.

Агент секретов предоставляет другое

Служба управления сетью запрашивает у агента секретов учетные данные, которые сама не хранит, и агент показывает этот запрос пользователю. Клиент командной строки с собственным интерактивным запросом — один из таких агентов; оболочка рабочего стола обычно предоставляет другой. Доступность секрета не даёт права изменять системную сеть, а исправление локальной авторизации не создаёт отсутствующие учётные данные. Одному рабочему процессу могут понадобиться оба ответа, и всегда в этой последовательности.

Если запрос секрета никогда не появляется, смотрите, до какого агента может добраться служба, а не на политику polkit.

Исправьте сеанс, а не уровень привилегий

Используйте поддерживаемый агент рабочего стола и интеграцию запуска, вместо того чтобы запускать весь интерфейс VPN от имени root. Выдача каждому пользователю безусловного управления сетью или отключение службы авторизации меняет отсутствующий запрос на постоянную дыру. На управляемом оборудовании администратор может намеренно требовать утверждённого оператора, и правильное исправление — работать в рамках этого решения. Проверьте представление поддерживаемых разрешений, чтобы увидеть, что может запросить текущий пользователь.

Не смешивайте локальный ответ с результатом аутентификации шлюза; это два события. Интерактивный запрос секрета в терминале тоже никого не освобождает от политики авторизации, как бы удобно это ни выглядело.

Запишите, какой агент ответил, в каком сеансе и что произошло дальше.