Dajte každému účtu VPN vlastný spúšťač NetworkManageru

Dva účty VPN, jedna brána a ikona na ploche, ktorá sa pripojí ako ten, kto ju použil naposledy. Zvyčajnou príčinou je spúšťač, ktorý tesne pred pripojením prepíše používateľské meno zdieľaného profilu, alebo taký, ktorý hľadá zobrazované meno, ktoré oba profily náhodou zdieľajú. NetworkManager už rozlišuje profily podľa UUID, takže ikona môže pomenovať presne jeden z nich a identitu nechať tak. Čo by nemala nosiť, je heslo.

Spúšťač je ukazovateľ, nie úložisko prihlasovacích údajov.

Nájdite UUID a potvrďte identitu

Vypíšte uložené pripojenia a prečítajte UUID, ID pripojenia a používateľské meno, ktoré každý profil ukladá. Pred vytvorením čohokoľvek potvrďte, ktorý profil patrí ktorému účtu, pretože zobrazované meno je označenie, nie kľúč. Ak oba účty potrebujú rôzne brány alebo rôzne profily, je to samostatná konfiguračná úloha.

Použite UUID v spúšťači. Hľadanie podľa zobrazovaného mena funguje, kým niekto nepremenuje profil, a potom sa ikona pripojí ako nesprávny účet alebo ako nič.

Napíšte položku na ploche

Položka na ploche potrebuje typ, názov a spustiteľný riadok. Príkaz má zdvihnúť to UUID a nechať NetworkManager vyžiadať tajomstvo, na čo slúži nmcli --ask connection up uuid .... Ponechajte Terminal=true, aby bol dotaz viditeľný, keď je potrebné tajomstvo. Nahraďte zástupný text UUID, ktoré ste skutočne pozorovali, a nepridávajte obal shellu len preto, aby ste dotaz skryli.

Špecifikácia Desktop Entry definuje Exec ako program a jeho argumenty. Nie je to skript shellu a nepotrebuje ho.

Nechajte agenta držať tajomstvo

Tajomstvá patria agentovi pre každého používateľa, kľúčenke alebo interaktívnemu dotazu. Heslo v Exec je vidieť v zozname procesov, v súbore na ploche a na každom snímku dialógu vlastností. Ak profil potrebuje tajomstvo, nechajte podporovaný dotaz, aby ho vyzdvihol, a agenta, aby si ho pre daného používateľa zapamätal.

--ask je interaktívny zámerne. Nie je to recept na automatizáciu bez dozoru a nezaručuje, že každú výzvu na overenie alebo doplnok vôbec možno skriptovať.

Nesiahajte po sudo

Oprávnenie upraviť alebo aktivovať pripojenie je povolenie NetworkManageru udelené jeho politikou, nie unixové privilégium. Spustenie spúšťača s sudo nedá procesu kľúčenku iného používateľa a neopraví odmietnutie bránou. Na zdieľanom stroji skontrolujte, ktoré miestne účty vidia ktoré profily a kto vlastní každé tajomstvo; oddelené ikony samy o sebe izoláciu nevytvárajú.

Dva aktívne profily pre tú istú bránu si môžu konkurovať aj o trasy alebo porušiť pravidlo súbežnosti. To je otázka politiky, nie chyba spúšťača.

Overte celú akciu

Aktivujte spúšťač raz a potvrďte tri veci: ktoré UUID sa zdvihlo, akú identitu brána videla a či sa dotaz na tajomstvo objavil tam, kde ste očakávali. Ak sa pripojenie nepodarí, ponechajte prvú chybovú správu. Pridanie hesla do príkazového riadka, aby zástupca vyzeral sebestačne, tú chybu skryje a vytvorí horší problém.

Zapíšte UUID a mapovanie účtov do tímových poznámok. Ďalší človek, ktorý zmení profil, musí vedieť, ktorá ikona od neho závisí, a práve tá poznámka bráni tomu, aby sa premenovanie stalo výpadkom.