nmcli стално пита за VPN лозинку: сачувајте тајну локално

Исти профил, две сесије: повезује се са радне површине и виси преко SSH на захтеву на који ништа не може да одговори. Ништа није покварено и ниједна поставка није изгубљена. NetworkManager тражи акредитиве од агента тајни, а агент тајни је компонента радне површине која не постоји у сесији коју користите.

Извршите низ испод и тунел ће се подићи без графичког интерфејса, с напоменом да чување тајне мења ко може да користи тај профил.

Потврдите дијагнозу пре него што било шта промените

Разлика између интерактивне и неинтерактивне активације је цела дијагноза. Ако nmcli --ask connection up успе, док обична активација застаје, профил је исправан и извор тајне недостаје. То једно поређење спасава вас од преписивања радне конфигурације.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Читајте заставице уместо да их погађате. Вредности које значе "питај агента" су оно што тражите, а тачна имена кључева разликују се међу VPN прикључцима јер живе у сопственом речнику података прикључка. Профил FortiSSL и профил IPsec не морају да користе иста имена, зато радите из излаза сопственог профила.

Такође потврдите да је пакет прикључка за тај протокол инсталиран. Прикључак који недостаје појављује се као непознат тип везе или као грешка при активацији која ништа не говори о лозинкама, а јурење тајне у том стању два пута троши исти сат. Један упит за пакет је јефтинији од целог поподнева уређивања датотека с кључевима.

Преместите тајну у датотеку кључева

Датотека везе налази се под /etc/NetworkManager/system-connections/. Тајне се тамо подразумевано не чувају, и то је смисао заставица које сте управо прочитали. Промена заставице на нулу каже NetworkManager-у да је вредност сачувана уз профил, а не да се тражи при активацији.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

За профил са две тајне шаблон се понавља: једна заставица по тајни у одељку [vpn], а вредности у [vpn-secrets]. Профил IPsec обично носи унапред подељени кључ поред корисничких акредитива, а прикључак их именује другачије од обичног поља за лозинку, зато копирајте имена кључева из излаза vpn.data, а не из блог поста који је користио други прикључак. Једно погрешно име кључа ствара профил који се учита и затим не успе при аутентикацији, што се чита тачно као погрешна лозинка. Упоредите своју датотеку са радним профилом истог прикључка пре него што се поново повежете.

Ставите у наводнике вредности које садрже размаке, наводнике или знак долара. Вредност без наводника са знаком $ биће прочитана буквално или проширена зависно од тога где се парсира, а грешка при аутентикацији која из тога произилази изгледа као погрешна лозинка.

Затим исправите власништво и режим датотеке. Ове датотеке с кључевима чита привилегована служба, а датотека коју други корисници могу да читају сматра се неповерљивом, што је уобичајен разлог зашто изгледа да се измењени профил игнорише. Власник root, режим 600, без изузетака.

Поново учитајте, затим активирајте

Датотека се чита када се веза учита, зато уређивање није довољно. Поново учитајте профиле и затим експлицитно подигните везу.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Ако поновно учитавање не ухвати промену, то чини потпуни рестарт службе, и о томе постоје извештаји. Дајте предност поновном учитавању када су друге везе важне, јер рестарт службе прекида сваку управљану везу, а на удаљеном домаћину то може да оконча вашу сесију пре него што се жељени тунел подигне.

Користите UUID када су имена двосмислена. Машине са више корисничких профила нагомилавају скоро дупликате, а активација погрешног ствара неуспех који изгледа као проблем са акредитивима.

Када сачувана тајна није проблем

Профил FortiSSL може да не успе чак и са исправним сачуваним акредитивима јер клијент никада не верује сертификату мрежног пролаза. Та поставка није у главном дијалогу; налази се иза напредних опција за VPN, где се уноси сажетак поверљивог сертификата. Ако дневник помиње сертификат уместо лозинке, ви сте у овој грани и никакво уређивање [vpn-secrets] неће помоћи.

Овде припадају још две провере. Потврдите да профил није увезен из датотеке која још показује на путању коју прикључак не може да прочита, и потврдите да је профил активни, а не застарела копија. Обе стварају неуспехе активације који се читају као грешке аутентикације.

Одлучите да ли је чување прихватљиво

Сачувани PSK и лозинка читљиви су свему што ради као root на тој машини. На машини коју контролишете, то је разумна замена за службу без графичког интерфејса. На дељеном домаћину заслужује разговор, јер профил сада садржи акредитиве које је раније штитио привезак кључева радне површине. Питајте ко још може да дође до root-а на том домаћину пре него што одлучите, а не после тога што је промена на месту.

Ако политика забрањује чување VPN тајни, не ослабљујте профил да би cron задатак радио. Покрените везу из сесије која има агента, или користите други механизам за аутоматизацију.

На крају, запишите који профили носе тајне да нико не копира један на преносни рачунар а да то не примети. Коментар изнад одељка са тајнама са датумом и разлогом је довољан, и спашће некога од непријатне провере касније.