Зашто VPN услуга покренута при подизању система не може да прочита твој прстен кључева

Веза која ради после пријаве, а пре ње не успева, обично значи да покушај при подизању није могао да добије тајну, а не да ју је сервер одбио. Акредитив постоји; контекст који га тражи не постоји. Та једна разлика штеди непотребно ресетовање лозинке.

Прати захтев: нешто покреће везу пре него што постоји сесија радне површине, а складиште тајни које иначе одговара још није откључано. Два контекста се не слажу око тога коме тајна припада, а профил бележи који од њих треба да је достави.

Шта путања подизања заправо тражи

При подизању система NetworkManager се покреће као системски сервис без корисничке сесије, без сесијског D-Busa и без откључаног прстена кључева. Профил везе ипак може да се подигне, али само са тајнама до којих сервис може да дође сам. Све што поседује агент за тајне чека док се човек не пријави и агент се не појави. Сервис ради тачно оно што каже његова конфигурација; профил је оно што мора да се промени.

Квар је уписан у везу, а не скривен у прстену кључева.

Читање заставица тајни на вези

Питај везу шта очекује, а не шта радна површина памти. Колона заставица директно одговара на питање и преживљава поновна покретања у датотеци профила на диску.

Почни са листом профила, па потврди која је веза постављена да се подиже сама. Затим испиши једну везу и прочитај заставице лозинке:

nmcli -f NAME,UUID,TYPE,AUTOCONNECT connection show
nmcli connection show "Work VPN" | grep -i -E "password|secret|key"
journalctl -b -u NetworkManager --grep "secret"

Прва наредба потврђује који профили постоје и да ли је неки постављен на аутоматско повезивање, чиме се уопште покреће покушај без надзора. Друга открива вредности заставица, а трећа показује како се сервис жали да ниједан агент није одговорио за дату тајну. Линија дневника која тајну назива агентомовом јесте цела дијагноза у једној реченици.

Зашто премештање везе у системски опсег мења одговор

Везу коју поседује корисник активира његов агент, зато савршено ради кад се радна површина подигне. Премештање у системски опсег уклања агента са путање, па се исти профил понаша другачије без иједне промењене линије VPN конфигурације.

То премештање је легитиман дизајн и носи захтев: тајна мора бити доступна системском сервису. Чување у профилу, достављање кроз акредитив системског опсега или прихватање интерактивног упита у правом тренутку све су ваљани одговори. Оставити заставицу 1 и надати се није.

Приватни кључ са сопственом лозинком додаје други слој. Чак ни сачувана лозинка налога неће откључати кључ који тражи лозинку, зато провери коју тајну фаза која не успева заправо тражи пре него што било шта промениш.

Шта не треба радити и шта уместо тога радити

Учинити сваку датотеку акредитива читљивом за све или искључити проверу идентитета да упит не би био потребан размењује нелагодност при покретању за трајну изложеност. Обоје и скрива зависност уместо да је решава, а следеће ажурирање слике враћа исти квар.

Користи у тој фази механизам који твоја дистрибуција документује за активацију без надзора, па потврди да се заставице профила с њим поклапају. Провери резултат са чистог подизања, а не из љуске која већ има агента. Запиши власника везе, извор тајне и фазу која мора да ради, да каснија промена аутоматског покретања не би тихо вратила зависност од тога да неко прво откључа радну површину. Документација је разлика између поправљеног сервиса и оног који се опет квари следећи квартал.

Тестирај са контролисаног чистог подизања, а не ручним поновним покушајем након пријаве. Поновни покушај успева због разлога због којег је покушај при подизању пропао, и то је управо доказ који брз тест уништава.