Redaktori VPN në distancë përmes SSH: cilën makinë po redaktoni?

Përcjellja X11 e vendos dritaren e redaktorit në laptopin tuaj ndërsa procesi vazhdon të ekzekutohet në hostin në distancë. Ky hendek është e gjithë kurthi: po shikoni një dritare lokale dhe po redaktoni një profil në distancë, dhe një supozim i gabuar se cila makinë e zotëron ndryshimin mund të presë lidhjen SSH përmes së cilës punoni. Lista e kontrollit më poshtë fikson hostin dhe profilin përpara se të ruhet ndonjë gjë. Çdo hap ka një kusht ndalimi, kështu që një dështim i hershëm është i lirë.

Hapi 1: emërtoni makinën që zotëron profilin

Ekzekutoni komandat e identitetit në shellin që do të konfiguroni dhe lexoni përgjigjen në vend që ta supozoni nga prompti. Një emër hosti në prompt është një varg që shtypi shelli juaj; emri i hostit të kernelit është ai që i beson pjesa tjetër e kësaj liste. Nëse të dy nuk përputhen, jeni në makinën e gabuar ose prompti është zbukuruar nga shelli juaj lokal. Ndaloni dhe rilidhuni me hostin e synuar përpara se të vazhdoni.

hostnamectl
hostname -f
ip -brief address

Pyetja tjetër është nëse kjo makinë duhet ta mbajë fare VPN-në. Konfigurimi i klientit të laptopit dhe konfigurimi i klientit të hostit në distancë prodhojnë rrugë të ndryshme, DNS të ndryshëm dhe mënyra të ndryshme dështimi. Vendosni cilën keni ndërmend përpara se të prekni një profil dhe shkruani vendimin atje ku do ta gjejë personi tjetër.

Hapi 2: lexoni profilin sipas UUID-së, jo sipas etiketës

NetworkManager e identifikon një lidhje sipas UUID-së, ndërsa emri është një etiketë që kushdo mund ta redaktojë ose dyfishojë. Listoni të dyja dhe përputhni pikërisht atë zë që keni ndërmend, sidomos në një host ku ndër vite janë importuar disa profile VPN.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Zërat e ruajtur dhe lidhjet aktive u përgjigjen pyetjeve të ndryshme: i pari liston çfarë ekziston, i dyti liston çfarë po mbart trafik tani. Rreshti i lejeve përshkruan politikën lokale për sesionin tuaj dhe nuk thotë asgjë nëse porta VPN do ta pranojë llogarinë. Nëse profili që ju nevojitet nuk është në listën e ruajtur, ndaloni këtu, sepse redaktimi i zërit të gabuar është më keq se mosredaktimi fare.

Pasi të keni UUID-në, vendoseni në një variabël dhe përdorni atë variabël në çdo komandë të mëvonshme. Kjo eliminon një klasë të tërë gabimesh kopjim-dhe-ngjitje dhe e bën transkriptin të riprodhueshëm.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Hapi 3: vendosni nëse një redaktor grafik është mjeti i duhur

Një redaktor që kërkon një kërkesë polkit ose një agjent sekretesh nuk do ta marrë atë vetëm sepse dritarja e tij shfaqet në laptopin tuaj. Ato komponentë ekzekutohen në kontekstin e sesionit në distancë, dhe përcjellja e një ekrani nuk i përcjell ato. Nëse redaktori nuk arrin të ruajë me një gabim autorizimi ose sekreti, ekrani nuk është problemi.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH e aktivizon përcjelljen X11 me -X dhe dokumenton kujdesin që vjen me të: hosti në distancë mund të arrijë ekranin tuaj lokal, që është një kufi i vërtetë besimi. Përcjellja e besuar me -Y heq disa nga ato kontrolle dhe nuk duhet të jetë kurrë zgjidhja reflekse për një aplikacion që dështon nën cilësimet e paracaktuara. Nëse organizata juaj publikon një metodë administrimi në distancë, përdorni atë në vend që të shpikni një variant. Në shumicën e rasteve redaktori i linjës së komandës është sipërfaqja më e vogël dhe përgjigjja më e mirë.

Ndaloni këtu nëse e vetmja rrugë që funksionon kërkon -Y dhe nuk mund të shpjegoni pse. Ky është një vendim për atë që zotëron politikën e sigurisë, jo një anashkalim për ta mbajtur në një skript personal.

Hapi 4: mbani një rrugë rikuperimi përpara se të aktivizoni ndonjë gjë

Një ndryshim VPN mund të heqë rrugën nga e cila varet sesioni juaj SSH, prandaj përgatitni një rrugë kthimi përpara se të aktivizoni profilin. Aksesi në konsolë, një adresë administrimi jashtë brezit ose një rikthim i planifikuar të gjitha numërohen; shpresa se ndryshimi do të funksionojë nuk numërohet.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktivizoni vetëm profilin e synuar, pastaj verifikoni nga hosti në distancë: rrugën e paracaktuar, rrugën e kthimit SSH dhe një burim që duhet të jetë i arritshëm përmes tunelit. Një kontroll i suksesshëm nga laptopi juaj teston rrugën e laptopit dhe nuk thotë asgjë për hostin në distancë. Nëse sesioni bie, përdorni rrugën e rikuperimit në vend që të rilidheni verbërisht. Ruajtja e një profili nuk është aktivizim, dhe aktivizimi nuk është verifikim.

Shënoni UUID-në, vlerat e vetive që ndryshuat dhe komandat që përdorët për t'i verifikuar ato. Personi tjetër që prek këtë host do të ketë nevojë për të treja, dhe një transkript vlen më shumë se një përmbledhje që thotë se VPN-ja u rregullua. Një listë kontrolli që mbaron pa një shënim rikthimi është gjysmë liste.