nmcli vazhdon të kërkojë fjalëkalimin e VPN: ruaj sekretin lokalisht

I njëjti profil, dy sesione: lidhet nga desktopi dhe ngec përmes SSH në një kërkesë së cilës asgjë nuk mund t'i përgjigjet. Asgjë nuk është prishur dhe asnjë rregullim nuk është humbur. NetworkManager po kërkon kredencialet nga një agjent sekretesh, dhe agjenti i sekreteve është një komponent desktopi që nuk ekziston në sesionin që po përdorni.

Ekzekutoni sekuencën më poshtë dhe tuneli ngrihet pa ndërfaqe grafike, me kushtin që ruajtja e një sekreti ndryshon kush mund ta përdorë atë profil.

Konfirmo diagnozën përpara se të ndryshosh gjë

Diferenca midis aktivizimit interaktiv dhe jointeraktiv është e gjithë diagnoza. Nëse nmcli --ask connection up ka sukses ndërsa një aktivizim i zakonshëm ngec, profili është i saktë dhe burimi i sekretit mungon. Ai krahasim i vetëm ju shpëton nga rishkrimi i një konfigurimi që funksionon.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Lexoni flamujt në vend që t'i hamendësoni. Vlerat që nënkuptojnë "pyet një agjent" janë ajo që po kërkoni, dhe emrat e saktë të çelësave ndryshojnë midis shtojcave të VPN sepse jetojnë në fjalorin e të dhënave të vetë shtojcës. Një profil FortiSSL dhe një profil IPsec nuk përdorin domosdoshmërisht të njëjtat emra, prandaj punoni nga dalja e profilit tuaj.

Konfirmoni gjithashtu se paketa e shtojcës për atë protokoll është e instaluar. Një shtojcë që mungon shfaqet si një lloj lidhjeje i panjohur ose si një gabim aktivizimi që nuk thotë gjë për fjalëkalimet, dhe ndjekja e sekretit në atë gjendje humb të njëjtën orë dy herë. Një pyetje e vetme për paketat kushton më pak se një pasdite e tërë duke redaktuar skedarë çelësash.

Zhvendos sekretin në skedarin e çelësit

Skedari i lidhjes ndodhet nën /etc/NetworkManager/system-connections/. Sekretet nuk mbahen atje si parazgjedhje, dhe ky është kuptimi i flamujve që sapo lexuat. Ndryshimi i një flamuri në zero i thotë NetworkManager se vlera është ruajtur bashkë me profilin në vend që të kërkohet në momentin e aktivizimit.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Për një profil me dy sekrete, modeli përsëritet: një flamur për çdo sekret në seksionin [vpn], dhe vlerat në [vpn-secrets]. Një profil IPsec zakonisht mban një çelës të ndarë paraprakisht pranë kredencialit të përdoruesit, dhe shtojca i emërton ndryshe nga një fushë e zakonshme fjalëkalimi, prandaj kopjoni emrat e çelësave nga dalja e vpn.data dhe jo nga një postim blogu që përdorte një shtojcë tjetër. Një emër i gabuar çelësi prodhon një profil që ngarkohet dhe më pas dështon në autentikim, gjë që lexohet pikërisht si fjalëkalim i gabuar. Krahasoni skedarin tuaj me një profil funksional të së njëjtës shtojcë përpara se të rilidheni.

Vendosni në thonjëza vlerat që përmbajnë hapësira, thonjëza ose shenjën e dollarit. Një vlerë pa thonjëza me $ brenda saj lexohet fjalë për fjalë ose zgjerohet në varësi të vendit ku analizohet, dhe dështimi i autentikimit që rezulton duket si fjalëkalim i gabuar.

Më pas rregulloni pronësinë dhe modalitetin e skedarit. Këta skedarë çelësash lexohen nga një shërbim i privilegjuar, dhe një skedar që përdoruesit e tjerë mund ta lexojnë trajtohet si i pabesueshëm, gjë që është arsyeja e zakonshme pse një profil i redaktuar duket se injorohet. Pronari root, modaliteti 600, pa përjashtime.

Ringarko, më pas aktivizo

Skedari lexohet kur lidhja ngarkohet, prandaj redaktimi i tij nuk mjafton. Ringarko profilet dhe më pas ngrini lidhjen në mënyrë eksplicite.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Nëse ringarkimi nuk e kap ndryshimin, një rinisje e plotë e shërbimit e kap, dhe ka raporte pikërisht për këtë. Preferoni ringarkimin kur lidhjet e tjera kanë rëndësi, sepse rinisja e shërbimit ndërpret çdo lidhje të menaxhuar, dhe në një host të largët kjo mund të përfundojë sesionin tuaj përpara se tuneli që dëshironit të ngrihet.

Përdorni UUID kur emrat janë të paqartë. Makinat me disa profile klientësh grumbullojnë pothuajse-dublikat, dhe aktivizimi i të gabuarit prodhon një dështim që duket si problem kredencialesh.

Kur sekreti i ruajtur nuk është problemi

Një profil FortiSSL mund të dështojë edhe me kredenciale të ruajtura saktë sepse klienti nuk i beson kurrë certifikatës së portës. Ai rregullim nuk është në dialogun kryesor; është pas opsioneve të avancuara për VPN, ku futet përmbledhja e certifikatës së besuar. Nëse regjistri përmend certifikatën në vend të fjalëkalimit, jeni në këtë degë dhe asnjë sasi redaktimi i [vpn-secrets] nuk do të ndihmojë.

Këtu hyjnë edhe dy kontrolle të tjera. Konfirmoni se profili nuk u importua nga një skedar që ende tregon një shteg që shtojca nuk mund ta lexojë, dhe konfirmoni se profili është ai aktiv dhe jo një dublikat i vjetëruar. Të dyja prodhojnë dështime aktivizimi që lexohen si gabime autentikimi.

Vendosni nëse ruajtja është e pranueshme

Një PSK dhe një fjalëkalim i ruajtur lexohen nga çdo gjë që ekzekutohet si root në atë makinë. Në një makinë që kontrolloni, ky është një shkëmbim i arsyeshëm për një shërbim pa ndërfaqe. Në një host të përbashkët meriton një bisedë, sepse profili tani përmban një kredencial që më parë mbrohej nga unaza e çelësave e desktopit. Pyetni kush tjetër mund të arrijë root në atë host përpara se të vendosni, jo pasi ndryshimi të jetë vënë në vend.

Nëse politika ndalon ruajtjen e sekreteve të VPN, mos e dobësoni profilin që të funksionojë një detyrë cron. Ekzekutoni lidhjen nga një sesion që ka agjent, ose përdorni një mekanizëm tjetër për automatizimin.

Së fundi, shënoni cilët profile mbajnë sekrete, që askush të mos kopjojë një në një laptop pa e vënë re. Një koment mbi seksionin e sekreteve me datën dhe arsyen mjafton, dhe do t'i kursejë dikujt një rishikim të sikletshëm më vonë.