Vzdialený editor VPN cez SSH: ktorý počítač upravujete?

Presmerovanie X11 umiestni okno editora na váš notebook, zatiaľ čo proces naďalej beží na vzdialenom hostiteľovi. Táto medzera je celá pasca: pozeráte sa na lokálne okno a upravujete vzdialený profil, a nesprávny predpoklad o tom, ktorý počítač vlastní zmenu, môže prerušiť SSH spojenie, cez ktoré pracujete. Kontrolný zoznam nižšie zafixuje hostiteľa aj profil skôr, než sa čokoľvek uloží. Každý krok má podmienku zastavenia, takže skoré zlyhanie je lacné.

Krok 1: pomenujte počítač, ktorý profil vlastní

Spustite príkazy identity v shelli, ktorý sa chystáte konfigurovať, a odpoveď si prečítajte, namiesto toho, aby ste ju predpokladali z výzvy. Názov hostiteľa vo výzve je reťazec, ktorý vytlačil váš shell; názov hostiteľa jadra je to, čomu verí zvyšok tohto zoznamu. Ak sa oba rozchádzajú, ste na nesprávnom počítači alebo výzvu zdobí váš lokálny shell. Zastavte sa a pred pokračovaním sa znova pripojte k zamýšľanému hostiteľovi.

hostnamectl
hostname -f
ip -brief address

Ďalšia otázka je, či má tento počítač VPN vôbec hostiť. Konfigurácia klienta notebooku a konfigurácia klienta vzdialeného hostiteľa vytvárajú rôzne trasy, rôzne DNS a rôzne režimy zlyhania. Rozhodnite, ktorý z nich máte na mysli, skôr než sa dotknete profilu, a rozhodnutie zapíšte tam, kde ho nájde ďalší človek.

Krok 2: čítajte profil podľa UUID, nie podľa názvu

NetworkManager identifikuje pripojenie podľa UUID, zatiaľ čo názov je štítok, ktorý môže ktokoľvek upraviť alebo duplikovať. Vypíšte oboje a porovnajte práve ten záznam, ktorý zamýšľate, najmä na hostiteľovi, kde sa počas rokov importovalo niekoľko VPN profilov.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Uložené záznamy a aktívne pripojenia odpovedajú na rôzne otázky: prvý vypisuje, čo existuje, druhý vypisuje, čo práve prenáša prevádzku. Riadok oprávnení opisuje lokálnu politiku pre vašu reláciu a nič nehovorí o tom, či VPN brána účet prijme. Ak profil, ktorý potrebujete, nie je v uloženom zozname, zastavte sa tu, pretože úprava nesprávneho záznamu je horšia ako žiadna úprava.

Keď máte UUID, uložte ho do premennej a túto premennú používajte v každom ďalšom príkaze. Odstráni to celú triedu chýb pri kopírovaní a vkladaní a preklad sa stane reprodukovateľným.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Krok 3: rozhodnite, či je grafický editor správny nástroj

Editor, ktorý potrebuje výzvu polkit alebo agenta tajomstiev, ju nedostane len preto, že sa jeho okno objaví na vašom notebooku. Tieto komponenty bežia v kontexte vzdialenej relácie a presmerovanie displeja ich nepresmeruje. Ak editor nedokáže uložiť kvôli chybe autorizácie alebo tajomstva, problém nie je v displeji.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH povoľuje presmerovanie X11 pomocou -X a dokumentuje opatrnosť, ktorá s tým ide: vzdialený hostiteľ môže dosiahnuť váš lokálny displej, čo je skutočná hranica dôvery. Dôveryhodné presmerovanie pomocou -Y odstraňuje časť týchto kontrol a nikdy by nemalo byť reflexným riešením pre aplikáciu, ktorá zlyháva pri predvolenom nastavení. Ak vaša organizácia zverejňuje metódu vzdialenej správy, použite ju, namiesto vymýšľania variantu. Vo väčšine prípadov je editor príkazového riadka menšia plocha a lepšia odpoveď.

Zastavte sa tu, ak jediná funkčná cesta vyžaduje -Y a nedokážete vysvetliť prečo. To je rozhodnutie pre toho, kto vlastní bezpečnostnú politiku, nie obchádzka na uchovanie v osobnom skripte.

Krok 4: pred aktivovaním čohokoľvek si pripravte cestu obnovy

Zmena VPN môže odstrániť trasu, na ktorej závisí vaša SSH relácia, takže si pred aktivovaním profilu pripravte cestu späť. Konzolový prístup, adresa mimopásmovej správy alebo naplánované vrátenie sa všetky počítajú; nádej, že zmena bude fungovať, sa nepočíta.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktivujte iba zamýšľaný profil a potom overte zo vzdialeného hostiteľa: predvolenú trasu, návratovú cestu SSH a jeden prostriedok, ktorý by mal byť dostupný cez tunel. Úspešná kontrola z vášho notebooku testuje cestu notebooku a o vzdialenom hostiteľovi nehovorí nič. Ak relácia spadne, použite cestu obnovy, namiesto toho, aby ste sa pripájali naslepo. Uloženie profilu nie je aktivácia a aktivácia nie je overenie.

Zapíšte UUID, zmenené hodnoty vlastností a príkazy, ktorými ste ich overili. Ďalší človek, ktorý sa dotkne tohto hostiteľa, bude potrebovať všetky tri, a záznam má väčšiu cenu ako zhrnutie, že VPN je opravená. Kontrolný zoznam, ktorý sa končí bez poznámky o vrátení, je polovičný zoznam.