Дајте сваком VPN налогу сопствени NetworkManager покретач

Два VPN налога, један пролаз и икона на радној површини која се повезује као онај ко ју је последњи користио. Уобичајен узрок је покретач који непосредно пре повезивања преписује корисничко име заједничког профила, или онај који тражи приказано име које оба профила случајно деле. NetworkManager већ разликује профиле по UUID-у, па икона може именовати тачно један од њих и оставити идентитет на миру. Оно што не сме да носи јесте лозинка.

Покретач је показивач, а не складиште акредитива.

Пронађите UUID и потврдите идентитет

Излистајте сачуване везе и прочитајте UUID, ID везе и корисничко име које чува сваки профил. Потврдите који профил припада ком налогу пре него што било шта направите, јер је приказано име ознака, а не кључ. Ако два налога траже различите пролазе или различите профиле, то је засебан задатак конфигурације.

Користите UUID у покретачу. Претрага по приказаном имену ради док неко не преименује профил, а тада се икона повезује као погрешан налог или као ништа.

Напишите ставку радне површине

Ставка радне површине тражи тип, име и извршну линију. Наредба треба да подигне тај UUID и пусти NetworkManager да затражи тајну, чему служи nmcli --ask connection up uuid .... Задржите Terminal=true да би захтев био видљив када је тајна потребна. Замените резервисано место UUID-ом који сте стварно приметили и не додајте омот љуске само да бисте сакрили захтев.

Спецификација Desktop Entry дефинише Exec као програм и његове аргументе. То није скрипта љуске и не треба му једна.

Пустите агента да држи тајну

Тајне припадају агенту по кориснику, привеску кључева или интерактивном захтеву. Лозинка у Exec видљива је на списку процеса, у датотеци радне површине и на сваком снимку дијалога својстава. Ако профилу треба тајна, пустите подржани захтев да је прикупи и агента да је запамти за тог корисника.

--ask је интерактиван по дизајну. То није рецепт за аутоматизацију без надзора и не гарантује да се сваки изазов провере идентитета или додатак уопште може скриптовати.

Не посежите за sudo

Овлашћење за измену или активирање везе је дозвола NetworkManager-а дата кроз његову политику, а не Unix привилегија. Покретање покретача са sudo не даје процесу привезак кључева другог корисника и не исправља одбијање пролаза. На дељеном рачунару прегледајте који локални налози виде које профиле и ко поседује сваку тајну; одвојене иконе саме по себи не стварају изолацију.

Два активна профила за исти пролаз могу се такмичити и за руте или прекршити правило истовремености. То је питање политике, а не грешка у покретачу.

Проверите целу радњу

Активирајте покретач једном и потврдите три ствари: који се UUID подигао, који је идентитет пролаз видео и да ли се захтев за тајну појавио тамо где сте очекивали. Ако веза не успе, задржите прву поруку о грешци. Додавање лозинке у командну линију да би пречица изгледала самодовољна крије ту грешку и ствара гори проблем.

Запишите UUID и мапирање налога у белешке тима. Следећа особа која промени профил мора да зна која икона зависи од њега, и управо та белешка спречава да преименовање постане прекид.