OpenVPN po pret një kërkesë fjalëkalimi nga systemd: duhet t'i përgjigjesh?

Në terminal shfaqet një mesazh për systemd-tty-ask-password-agent, dhe tuneli nuk është ngritur. Leximi joshës është se VPN-ja refuzoi një fjalëkalim dhe diçka tani pret një korrigjim. Më saktë, një shërbim i kërkoi systemd një hyrje interaktive, dhe kërkesës nuk i është përgjigjur ende. Cili shërbim pyeti dhe cilin sekret dëshiron janë dy pyetje që mund t'i zgjidhësh përpara se të shkruash gjë.

Kush duhet t'i përgjigjet e vendosin dy kushte

Kushti i parë është nëse e nise këtë instancë me qëllim. Një kërkesë që vjen pas një veprimi tënd është e jotja për t'u përgjigjur, dhe një që shfaqet pa një veprim përkatës i takon diçkaje tjetër. I dyti është nëse sekreti është vërtetim llogarie apo mbrojtje çelësi, sepse këto jetojnë në vende të ndryshme dhe udhëtojnë nëpër rrugë kodi të ndryshme. Të dyja përgjigjet janë të dukshme në ditar nëse shikon përpara se të veprosh.

Kur të dyja përgjigjet janë të qarta, vendimi është i thjeshtë: përgjigju përmes rrugës së vetë kërkesës së mbështetur të shërbimit. Kur ndonjëra është e paqartë, lëvizja e duhur është të hetohet, jo të shkruhet një fjalëkalim në një kërkesë që nuk mund t'ia atribuosh.

Ky është i gjithë rregulli, dhe ia vlen të thuhet përpara komandave. Gjithçka më poshtë rrjedh prej tij.

Listo kërkesën përpara se të shkruash gjë

Agjenti mund të numërojë çfarë është në pritje pa iu përgjigjur asgjëje. sudo systemd-tty-ask-password-agent --list printon kërkesat e papërfunduara, dhe ai rezultat është prova që të duhet për të lidhur një kërkesë me një njësi. Lexoje përpara se të japësh një kredencial, dhe mbaji përshkrimet e kërkesave jashtë çdo ngjitjeje diagnostike publike.

Korrelo listën me operacionin që nise dhe me njësinë që e zotëron. Nëse asgjë në listë nuk përputhet me veprimin tënd, kërkesa që pe i takon një shërbimi tjetër dhe nuk është e jotja për ta zgjidhur. Emri i njësisë në listë është lidhja e vetme e besueshme midis një kërkese dhe një shërbimi.

Mos u përgjigj një kërkese që nuk mund t'ia atribuosh. Kostoja e pritjes është një vonesë, ndërsa kostoja e përgjigjes ndaj kërkesës së gabuar është një kredencial në vendin e gabuar.

Çfarë sekreti i duhet vërtet instancës?

auth-user-pass ka të bëjë me vërtetimin e llogarisë ndaj shërbimit VPN, dhe pa një skedar kredencialesh sjellja e dokumentuar është të pyesësh në konsolë. askpass në vend të kësaj merr frazën sekrete që hap materialin e mbrojtur të çelësit, dhe e bën këtë përpara se procesi të kalojë në sfond. Këto janë sekrete të ndryshme me jetëgjatësi të ndryshme.

Edhe formatet e skedarëve ndryshojnë. Forma e llogarisë pret një rresht emri përdoruesi dhe një rresht fjalëkalimi, ndërsa skedari i frazës sekrete të çelësit lexon rreshtin e parë si fjalëkalimin e vet. Kopjimi i recetës së skedarit të kredencialeve nga roli tjetër zakonisht prodhon një kërkesë tjetër në vend të një zgjidhjeje. Një skedar me formë të gabuar është më keq se asnjë skedar, sepse dështimi kalon në një vend që askush nuk e mbikëqyr.

Kontrollo cilën direktivë përdor instanca përpara se të vendosësh çfarë të shkruash. Emri i direktivës të tregon për cilin sekret është kërkesa.

Çfarë bën --query që --list nuk bën

--query përpunon çdo kërkesë në pritje në terminalin thirrës, që është një veprim shumë më i gjerë sesa përgjigjja ndaj një kërkese. Nuk është përzgjedhës i OpenVPN, dhe në një makinë të zënë mund t'u përgjigjet kërkesave që u përkasin njësive të tjera. Modaliteti i vëzhgimit është edhe më i gjerë, sepse vazhdon t'i trajtojë kërkesat sapo ato arrijnë.

Përdor mekanizmin më të ngushtë që funksionon. Për një shërbim të vetëm, rrjedha e vetë kërkesës së atij shërbimi është më e ngushtë se një agjent global, dhe e mban përgjigjen të lidhur me njësinë që pyeti.

Shndërrimi i një kërkese të njëhershme në agjent global pa mbikëqyrje sepse u shfaq një njoftim një herë është mënyra se si një shqetësim i përkohshëm bëhet dizajn i përhershëm. E njëjta kujdes vlen edhe për çaktivizimin e njësive të njoftimit të fjalëkalimit në të gjithë hostin.

Vendos, pastaj regjistro zgjedhjen

Për një vendosje pa mbikëqyrje, merr dakord me pronarin e lidhjes për burimin e kredencialeve, lejet e skedarit dhe planin e rinovimit. Një faktor i dytë interaktiv mund të ketë nevojë për një person ose një identitet të dedikuar shërbimi. Shtypja e kërkesës nuk e prodhon atë vërtetim, dhe heqja e auth-user-pass thjesht prish një shërbim që ka nevojë për të.

Pas ndërveprimit, shiko të njëjtën instancë për ngjarjen e saj të radhës dhe testo burimin privat. Nëse asgjë nuk është në pritje, kthehu në gjendjen e instancës në vend që të nisësh çdo njësi OpenVPN në host.