nmcli nenehno sprašuje za geslo VPN: shranite skrivnost lokalno

Isti profil, dve seji: z namizja se poveže, prek SSH pa obvisi na pozivu, na katerega nič ne more odgovoriti. Nič ni pokvarjeno in nobena nastavitev se ni izgubila. NetworkManager zahteva poverilnico od agenta skrivnosti, agent skrivnosti pa je komponenta namizja, ki je v seji, ki jo uporabljate, ni.

Zaženite spodnje zaporedje in tunel se dvigne brez grafičnega vmesnika, s pridržkom, da shranjevanje skrivnosti spremeni, kdo lahko uporablja ta profil.

Preden karkoli spremenite, potrdite diagnozo

Razlika med interaktivnim in neinteraktivnim aktiviranjem je celotna diagnoza. Če nmcli --ask connection up uspe, medtem ko običajno aktiviranje obtiči, je profil pravilen in vir skrivnosti manjka. Ta ena primerjava vas reši prepisovanja delujoče konfiguracije.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Berite zastavice, namesto da jih ugibate. Vrednosti, ki pomenijo "vprašaj agenta", so tisto, kar iščete, in točna imena ključev se med vtičniki VPN razlikujejo, ker živijo v lastnem podatkovnem slovarju vtičnika. Profil FortiSSL in profil IPsec ne uporabljata nujno istih imen, zato delajte iz izhoda svojega profila.

Preverite tudi, ali je paket vtičnika za ta protokol nameščen. Manjkajoči vtičnik se pokaže kot neznana vrsta povezave ali kot napaka pri aktiviranju, ki ne pove ničesar o geslih, in lov za skrivnostjo v tem stanju dvakrat zapravi isto uro. Ena poizvedba o paketu je cenejša od celega popoldneva urejanja ključnih datotek.

Premaknite skrivnost v datoteko ključa

Povezovalna datoteka je pod /etc/NetworkManager/system-connections/. Skrivnosti se tam privzeto ne hranijo, in to je smisel zastavic, ki ste jih pravkar prebrali. Nastavitev zastavice na nič pove NetworkManageru, da je vrednost shranjena s profilom, namesto da bi bila zahtevana ob aktiviranju.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Pri profilu z dvema skrivnostma se vzorec ponovi: ena zastavica na skrivnost v razdelku [vpn] in vrednosti v [vpn-secrets]. Profil IPsec običajno nosi vnaprej deljeni ključ ob uporabnikovi poverilnici, in vtičnik ju poimenuje drugače kot običajno polje za geslo, zato kopirajte imena ključev iz izhoda vpn.data, ne iz bloga, ki je uporabljal drug vtičnik. Eno napačno ime ključa ustvari profil, ki se naloži in nato spodleti pri preverjanju pristnosti, kar se bere natanko kot napačno geslo. Pred ponovno povezavo primerjajte svojo datoteko z delujočim profilom istega vtičnika.

Vrednosti, ki vsebujejo presledke, narekovaje ali znak za dolar, dajte v narekovaje. Vrednost brez narekovajev z znakom $ bo prebrana dobesedno ali razširjena glede na to, kje se razčlenjuje, in posledična napaka preverjanja pristnosti je videti kot napačno geslo.

Nato popravite lastništvo in način datoteke. Te ključne datoteke bere privilegirana storitev, datoteka, ki jo lahko berejo drugi uporabniki, pa velja za nezanesljivo, kar je običajen razlog, da je urejen profil videti prezrt. Lastnik root, način 600, brez izjem.

Znova naložite, nato aktivirajte

Datoteka se prebere ob nalaganju povezave, zato samo urejanje ni dovolj. Znova naložite profile in nato povezavo izrecno dvignite.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Če ponovno nalaganje spremembe ne zajame, to stori popoln restart storitve, in o tem obstajajo poročila. Dajte prednost ponovnemu nalaganju, ko so pomembne druge povezave, ker restart storitve prekine vsako upravljano povezavo, in na oddaljenem gostitelju lahko to konča vašo sejo, preden se želeni tunel dvigne.

Ko so imena dvoumna, uporabite UUID. Stroji z več profili strank kopičijo skoraj-dvojnike, aktiviranje napačnega pa povzroči napako, ki je videti kot težava s poverilnicami.

Ko shranjena skrivnost ni težava

Profil FortiSSL lahko spodleti tudi s pravilno shranjeno poverilnico, ker odjemalec nikoli ne zaupa potrdilu prehoda. Ta nastavitev ni v glavnem pogovornem oknu; je za naprednimi možnostmi za VPN, kjer se vnese izvleček zaupanja vrednega potrdila. Če dnevnik omenja potrdilo namesto gesla, ste v tej veji in nobena količina urejanja [vpn-secrets] ne bo pomagala.

Tu spadata še dve preverjanji. Potrdite, da profil ni bil uvožen iz datoteke, ki še vedno kaže na pot, ki je vtičnik ne more prebrati, in potrdite, da je profil aktivni in ne zastarel dvojnik. Oba ustvarita napaki pri aktiviranju, ki se bereta kot napaki preverjanja pristnosti.

Odločite, ali je shranjevanje sprejemljivo

Shranjena PSK in geslo lahko prebere vse, kar na tem stroju teče kot root. Na stroju, ki ga nadzorujete, je to razumna menjava za storitev brez grafičnega vmesnika. Na deljenem gostitelju si zasluži pogovor, ker profil zdaj vsebuje poverilnico, ki jo je prej ščitil namizni ključavničar. Pred odločitvijo vprašajte, kdo drug lahko na tem gostitelju doseže root, ne pa po tem, ko je sprememba že izvedena.

Če politika prepoveduje shranjevanje skrivnosti VPN, ne oslabite profila, da bi opravilo cron delovalo. Zaženite povezavo iz seje z agentom ali uporabite drug mehanizem za avtomatizacijo.

Na koncu zabeležite, kateri profili nosijo skrivnosti, da nihče ne kopira enega v prenosnik, ne da bi to opazil. Komentar nad razdelkom s skrivnostmi z datumom in razlogom zadostuje in bo nekomu pozneje prihranil nerodno revizijo.