Vsakemu računu VPN dajte svoj zaganjalnik NetworkManager

Dva računa VPN, ena vrata in ikona na namizju, ki se poveže kot zadnji uporabnik. Običajen vzrok je zaganjalnik, ki tik pred povezavo prepiše uporabniško ime skupnega profila, ali tisti, ki išče prikazano ime, ki si ga oba profila slučajno delita. NetworkManager že ločuje profile po UUID, zato lahko ikona poimenuje točno enega od njih in identiteto pusti pri miru. Česar ne bi smela nositi, je geslo.

Zaganjalnik je kazalka, ne shramba poverilnic.

Poiščite UUID in potrdite identiteto

Naštejte shranjene povezave in preberite UUID, ID povezave in uporabniško ime, ki ga hrani vsak profil. Preden kar koli ustvarite, potrdite, kateri profil pripada kateremu računu, ker je prikazano ime oznaka in ne ključ. Če dva računa potrebujeta različna vrata ali različne profile, je to ločena konfiguracijska naloga.

Uporabite UUID v zaganjalniku. Iskanje po prikazanem imenu deluje, dokler nekdo ne preimenuje profila, nato pa se ikona poveže kot napačen račun ali kot nič.

Napišite vnos na namizju

Vnos na namizju potrebuje vrsto, ime in izvršljivo vrstico. Ukaz naj dvigne ta UUID in pusti NetworkManageru, da zahteva skrivnost, temu je namenjen nmcli --ask connection up uuid .... Ohranite Terminal=true, da bo poziv viden, ko je potrebna skrivnost. Zamenjajte nadomestni znak z UUID, ki ste ga res opazili, in ne dodajajte ovoja lupine samo zato, da bi skrili poziv.

Specifikacija Desktop Entry določa Exec kot program in njegove argumente. To ni skript lupine in ga ne potrebuje.

Pustite agentu, da hrani skrivnost

Skrivnosti pripadajo agentu za vsakega uporabnika, obesku ključev ali interaktivnemu pozivu. Geslo v Exec je vidno na seznamu procesov, v datoteki na namizju in na katerem koli posnetku pogovornega okna z lastnostmi. Če profil potrebuje skrivnost, pustite podprtemu pozivu, da jo zbere, in agentu, da si jo zapomni za tega uporabnika.

--ask je po zasnovi interaktiven. To ni recept za avtomatizacijo brez nadzora in ne zagotavlja, da je vsak izziv preverjanja pristnosti ali vtičnik sploh mogoče skriptirati.

Ne segajte po sudo

Dovoljenje za spreminjanje ali aktiviranje povezave je dovoljenje NetworkManagerja, podeljeno prek njegove politike, ne privilegij Unix. Zagon zaganjalnika z sudo procesu ne da obeska ključev drugega uporabnika in ne odpravi zavrnitve na vratih. Na deljenem stroju preglejte, kateri lokalni računi vidijo katere profile in kdo ima vsako skrivnost; ločene ikone same po sebi ne ustvarijo izolacije.

Dva aktivna profila za ista vrata se lahko potegujeta tudi za poti ali kršita pravilo sočasnosti. To je vprašanje politike, ne napaka v zaganjalniku.

Preverite celotno dejanje

Aktivirajte zaganjalnik enkrat in potrdite tri stvari: kateri UUID se je dvignil, kakšno identiteto so videla vrata in ali se je poziv za skrivnost pojavil tam, kjer ste pričakovali. Če povezava ne uspe, ohranite prvo sporočilo o napaki. Dodajanje gesla v ukazno vrstico, da bi bližnjica izgledala samostojna, skrije to napako in ustvari hujšo težavo.

Zapišite UUID in preslikavo računov v ekipne zapiske. Naslednja oseba, ki bo spremenila profil, mora vedeti, katera ikona je od njega odvisna, in prav ta zapisek prepreči, da bi preimenovanje postalo izpad.