Удаљени VPN уређивач преко SSH-а: коју машину уређујете?

X11 прослеђивање ставља прозор уређивача на ваш лаптоп док процес наставља да ради на удаљеном хосту. Та празнина је цела замка: гледате локални прозор и уређујете удаљени профил, а погрешна претпоставка о томе која машина поседује промену може да прекине SSH везу преко које радите. Контролна листа испод фиксира хост и профил пре него што се било шта сачува. Сваки корак има услов за заустављање, па је рани неуспех јефтин.

Корак 1: именујте машину која поседује профил

Покрените команде идентитета у љусци коју ћете конфигурисати и прочитајте одговор уместо да га претпоставите из упитника. Име хоста у упитнику је ниска коју је исписала ваша љуска; име хоста језгра је оно у шта верује остатак ове листе. Ако се два не слажу, на погрешној сте машини или је упитник украшен вашом локалном љуском. Зауставите се и поново се повежите са жељеним хостом пре него што наставите.

hostnamectl
hostname -f
ip -brief address

Следеће питање је да ли ова машина уопште треба да држи VPN. Конфигурисање клијента лаптопа и конфигурисање клијента удаљеног хоста дају различите руте, различит DNS и различите режиме отказа. Одлучите који имате на уму пре него што дотакнете профил и запишите одлуку тамо где ће је наћи следећа особа.

Корак 2: читајте профил по UUID-у, а не по ознаци

NetworkManager идентификује везу по UUID-у, док је име ознака коју било ко може уредити или дуплирати. Наведите обоје и упарите управо онај унос који намеравате, посебно на хосту где је годинама увезено неколико VPN профила.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Сачувани уноси и активне везе одговарају на различита питања: први набраја шта постоји, други набраја шта тренутно преноси саобраћај. Линија дозвола описује локалну политику за вашу сесију и ништа не каже о томе да ли ће VPN портал прихватити налог. Ако профил који вам треба није на сачуваној листи, зауставите се овде, јер је уређивање погрешног уноса горе од никаквог уређивања.

Када добијете UUID, ставите га у променљиву и користите ту променљиву у свакој следећој команди. То уклања целу класу грешака копирања и лепљења и чини запис репродуктивним.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Корак 3: одлучите да ли је графички уређивач прави алат

Уређивач коме треба polkit упит или агент за тајне неће га добити само зато што се његов прозор појављује на вашем лаптопу. Ти делови раде у контексту удаљене сесије, а прослеђивање екрана их не прослеђује. Ако уређивач не може да сачува због грешке ауторизације или тајне, проблем није у екрану.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH омогућава X11 прослеђивање помоћу -X и документује опрез који иде с тим: удаљени хост може да достигне ваш локални екран, што је стварна граница поверења. Поуздано прослеђивање помоћу -Y уклања део тих провера и никада не треба да буде рефлексно решење за апликацију која пада при подразумеваним подешавањима. Ако ваша организација објављује метод удаљене администрације, користите тај уместо да измишљате варијанту. У већини случајева уређивач командне линије је мања површина и бољи одговор.

Зауставите се овде ако једини пут који ради захтева -Y и не можете да објасните зашто. То је одлука за оног који поседује безбедносну политику, а не заобилазница коју треба држати у личној скрипти.

Корак 4: сачувајте пут за опоравак пре него што било шта активирате

Промена VPN-а може да уклони руту од које зависи ваша SSH сесија, зато уредите пут назад пре него што активирате профил. Приступ конзоли, адреса за ванпојасно управљање или заказано враћање сви се рачунају; нада да ће промена радити не рачуна се.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Активирајте само жељени профил, затим проверите са удаљеног хоста: подразумевану руту, повратни пут SSH-а и један ресурс који би требало да буде доступан кроз тунел. Успешна провера са вашег лаптопа тестира пут лаптопа и ништа не каже о удаљеном хосту. Ако сесија падне, користите пут за опоравак уместо поновног повезивања насумице. Чување профила није активирање, а активирање није провера.

Запишите UUID, измењене вредности својстава и команде којима сте их проверили. Следећој особи која дотакне овај хост требаће сва три, а запис вреди више од резимеа да је VPN поправљен. Контролна листа која се завршава без напомене о враћању је пола листе.