Fjärr-VPN-redigerare över SSH: vilken maskin redigerar du?

X11-vidarebefordran placerar redigerarens fönster på din bärbara dator medan processen fortsätter att köras på fjärrvärden. Det gapet är hela fällan: du tittar på ett lokalt fönster och redigerar en fjärrprofil, och ett felaktigt antagande om vilken maskin som äger ändringen kan kapa SSH-anslutningen du arbetar över. Checklistan nedan låser värden och profilen innan något sparas. Varje steg har ett stoppvillkor, så ett tidigt fel är billigt.

Steg 1: namnge maskinen som äger profilen

Kör identitetskommandona i skalet du ska konfigurera och läs svaret i stället för att anta det från prompten. Ett värdnamn i prompten är en sträng som ditt skal skrev ut; kärnans värdnamn är det som resten av checklistan litar på. Om de två inte stämmer är du på fel maskin eller så är prompten utsmyckad av ditt lokala skal. Stoppa och anslut igen till den avsedda värden innan du fortsätter.

hostnamectl
hostname -f
ip -brief address

Nästa fråga är om den här maskinen alls ska hålla VPN:en. Att konfigurera den bärbara datorns klient och att konfigurera fjärrvärdens klient ger olika rutter, olika DNS och olika felmoder. Bestäm vilken du menar innan du rör en profil, och skriv ner beslutet där nästa person hittar det.

Steg 2: läs profilen efter UUID, inte efter etikett

NetworkManager identifierar en anslutning efter UUID, medan namnet är en etikett som vem som helst kan redigera eller duplicera. Lista båda och matcha posten du faktiskt menar, särskilt på en värd där flera VPN-profiler importerats genom åren.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Sparade poster och aktiva anslutningar svarar på olika frågor: den första listar vad som finns, den andra listar vad som bär trafik just nu. Behörighetsraden beskriver lokal policy för din session och säger ingenting om huruvida VPN-gatewayen accepterar kontot. Om profilen du behöver inte finns i den sparade listan, stoppa här, eftersom att redigera fel post är värre än att inte redigera alls.

När du har UUID:t, lägg det i en variabel och använd den variabeln i varje senare kommando. Det tar bort en hel klass av kopiera-och-klistra-fel och gör transkriptet reproducerbart.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Steg 3: avgör om en grafisk redigerare är rätt verktyg

En redigerare som behöver en polkit-prompt eller en hemlighetsagent får inte det bara för att dess fönster visas på din bärbara dator. De komponenterna körs i fjärrsessionens kontext, och vidarebefordran av en skärm vidarebefordrar dem inte. Om redigeraren inte kan spara på grund av ett auktoriserings- eller hemlighetsfel, är skärmen inte problemet.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH aktiverar X11-vidarebefordran med -X och dokumenterar den försiktighet som följer med: fjärrvärden kan nå din lokala skärm, vilket är en verklig tillitsgräns. Betrodd vidarebefordran med -Y tar bort några av dessa kontroller och bör aldrig vara reflexlösningen för ett program som misslyckas under standardinställningarna. Om din organisation publicerar en metod för fjärradministration, använd den i stället för att hitta på en variant. I de flesta fall är kommandoradsredigeraren den mindre ytan och det bättre svaret.

Stoppa här om den enda fungerande vägen kräver -Y och du inte kan förklara varför. Det är ett beslut för den som äger säkerhetspolicyn, inte en genväg att förvara i ett personligt skript.

Steg 4: håll en återställningsväg innan du aktiverar något

En VPN-ändring kan ta bort rutten som din SSH-session är beroende av, så ordna en väg tillbaka innan du aktiverar profilen. Konsolåtkomst, en hanteringsadress utanför bandet eller en schemalagd återställning räknas alla; hoppet att ändringen fungerar räknas inte.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Aktivera bara den avsedda profilen och verifiera sedan från fjärrvärden: standardrutten, SSH-returvägen och en resurs som bör vara nåbar genom tunneln. En lyckad kontroll från din bärbara dator testar den bärbara datorns väg och säger ingenting om fjärrvärden. Om sessionen faller, använd återställningsvägen i stället för att ansluta igen blint. Att spara en profil är inte aktivering, och aktivering är inte verifiering.

Anteckna UUID:t, egenskapsvärdena du ändrade och kommandona du använde för att verifiera dem. Nästa person som rör den här värden behöver alla tre, och ett transkript är värt mer än en sammanfattning som säger att VPN:en reparerades. En checklista som slutar utan en återställningsanteckning är en halv lista.