OpenVPN čaka na zahtevo systemd za geslo: ali naj odgovorite?

V terminalu se pojavi sporočilo o systemd-tty-ask-password-agent, tunel pa ni vzpostavljen. Zavajajoče branje je, da je VPN zavrnil geslo in da nekaj zdaj čaka na popravek. Natančneje: storitev je systemd zaprosila za interaktivni vnos in zahteva še ni bila odgovorjena. Katera storitev je vprašala in katero skrivnost želi, sta vprašanji, ki ju lahko razrešite, preden karkoli vtipkate.

Kdo naj odgovori, odločata dva pogoja

Prvi pogoj je, ali ste to instanco zagnali namerno. Zahteva, ki sledi vašemu dejanju, je vaša za odgovor, tista, ki se pojavi brez ustreznega dejanja, pa pripada nečemu drugemu. Drugi je, ali je skrivnost preverjanje računa ali zaščita ključa, ker to živi na različnih mestih in potuje po različnih kodnih poteh. Oba odgovora sta vidna v dnevniku, če pogledate pred dejanjem.

Ko sta oba odgovora jasna, je odločitev preprosta: odgovorite po lastni podprti poti poziva te storitve. Ko je kateri nejasen, je pravi korak raziskati, ne pa vtipkati geslo v poziv, ki mu ne morete pripisati.

To je celo pravilo in velja ga povedati pred ukazi. Vse spodaj izhaja iz njega.

Naštejte zahtevo, preden karkoli vtipkate

Agent lahko našteje, kaj čaka, ne da bi na kar koli odgovoril. sudo systemd-tty-ask-password-agent --list izpiše neobdelane zahteve in ta izpis je dokaz, ki ga potrebujete, da poziv povežete z enoto. Preberite ga, preden posredujete poverilnico, in opise zahtev držite stran od vsakega javnega diagnostičnega prilepljanja.

Povežite seznam z operacijo, ki ste jo začeli, in z enoto, ki ji pripada. Če se nič na seznamu ne ujema z vašim dejanjem, poziv, ki ste ga videli, pripada drugi storitvi in ni vaš za rešitev. Ime enote na seznamu je edina zanesljiva povezava med pozivom in storitvijo.

Ne odgovorite na zahtevo, ki ji ne morete pripisati. Cena čakanja je zamuda, medtem ko je cena odgovora na napačen poziv poverilnica na napačnem mestu.

Katero skrivnost instanca v resnici potrebuje?

auth-user-pass se nanaša na preverjanje računa pri storitvi VPN, in brez datoteke s poverilnicami je dokumentirano vedenje vprašati v konzoli. askpass namesto tega pridobi geslo, ki odklepa zaščiteno ključno gradivo, in to stori, preden se proces umakne v ozadje. To so različne skrivnosti z različno življenjsko dobo.

Tudi oblike datotek se razlikujejo. Oblika računa pričakuje vrstico z uporabniškim imenom in vrstico z geslom, medtem ko datoteka gesla ključa prebere prvo vrstico kot svoje geslo. Kopiranje recepta za datoteko s poverilnicami iz druge vloge običajno ustvari še en poziv namesto rešitve. Datoteka z napačno obliko je slabša od nobene datoteke, ker se napaka preseli na mesto, ki ga nihče ne nadzoruje.

Preden se odločite, kaj vtipkati, preverite, katero direktivo uporablja instanca. Ime direktive vam pove, za katero skrivnost je poziv.

Kaj počne --query in česa --list ne počne

--query obdela vsako čakajočo zahtevo na terminalu, ki ga kliče, kar je veliko širše dejanje od odgovora na en poziv. Ni izbirnik OpenVPN in na zasedenem stroju lahko odgovori na zahteve, ki pripadajo drugim enotam. Način opazovanja je še širši, ker še naprej obdeluje zahteve, ko prispejo.

Uporabite najožji mehanizem, ki deluje. Za eno storitev je njen lastni tok poziva ožji od globalnega agenta in drži odgovor vezan na enoto, ki je vprašala.

Spreminjanje enkratne zahteve v nenadzorovanega globalnega agenta zato, ker se je obvestilo pojavilo enkrat, je pot, po kateri začasna nadloga postane trajna zasnova. Ista previdnost velja pri izklopu enot za obvestila o geslu na celem gostitelju.

Odločite in nato zapišite izbiro

Za nenadzorovano uvajanje se z lastnikom povezave dogovorite o viru poverilnic, dovoljenjih datoteke in načrtu obnavljanja. Interaktivni drugi dejavnik lahko potrebuje osebo ali namensko identiteto storitve. Zatiranje poziva ne ustvari tega preverjanja, odstranitev auth-user-pass pa pokvari le storitev, ki ga potrebuje.

Po interakciji poglejte isto instanco za njen naslednji dogodek in preizkusite zasebni vir. Če nič ne čaka, se vrnite v stanje instance, namesto da bi zagnali vsako enoto OpenVPN na gostitelju.