Kihariri cha VPN cha mbali kupitia SSH: unahariri mashine gani?

Upelekaji wa X11 huweka dirisha la kihariri kwenye kompyuta yako ya mkononi wakati mchakato unaendelea kufanya kazi kwenye mwenyeji wa mbali. Pengo hilo ndilo mtego wote: unaangalia dirisha la ndani na unahariri wasifu wa mbali, na dhana isiyo sahihi kuhusu mashine inayomiliki mabadiliko inaweza kukata kiungo cha SSH unachofanyia kazi. Orodha ya ukaguzi hapa chini huthibitisha mwenyeji na wasifu kabla ya kitu chochote kuhifadhiwa. Kila hatua ina sharti la kusimama, kwa hiyo kushindwa mapema ni rahisi.

Hatua 1: taja mashine inayomiliki wasifu

Endesha amri za utambulisho kwenye shell unayokwenda kusanidi, na soma jibu badala ya kulidhania kutoka kwenye kidokezo. Jina la mwenyeji kwenye kidokezo ni mfuatano uliochapishwa na shell yako; jina la mwenyeji la kiini ndilo orodha hii yote inaliamini. Ikiwa hayo mawili hayapatani, uko kwenye mashine isiyo sahihi au kidokezo kimepambwa na shell yako ya ndani. Simama na uunganishe tena kwa mwenyeji uliokusudiwa kabla ya kuendelea.

hostnamectl
hostname -f
ip -brief address

Swali linalofuata ni kama mashine hii inapaswa kushikilia VPN hata kidogo. Kusanidi mteja wa kompyuta ya mkononi na kusanidi mteja wa mwenyeji wa mbali hutoa njia tofauti, DNS tofauti na mbinu tofauti za kushindwa. Amua unayomaanisha kabla ya kugusa wasifu, na andika uamuzi mahali ambapo mtu anayefuata atauona.

Hatua 2: soma wasifu kwa UUID, si kwa lebo

NetworkManager hutambua muunganisho kwa UUID, wakati jina ni lebo ambayo mtu yeyote anaweza kuihariri au kuiga. Orodhesha zote mbili na ulinganishe ingizo unalokusudia hasa, hasa kwenye mwenyeji ambako wasifu kadhaa wa VPN umeingizwa kwa miaka.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Maingizo yaliyohifadhiwa na miunganisho hai hujibu maswali tofauti: ya kwanza huorodhesha kilichopo, ya pili huorodhesha kinachobeba trafiki sasa. Mstari wa ruhusa unaelezea sera ya ndani ya kipindi chako na hausemi chochote kuhusu kama lango la VPN litakubali akaunti. Ikiwa wasifu unaouhitaji haupo kwenye orodha iliyohifadhiwa, simama hapa, kwa sababu kuhariri ingizo lisilo sahihi ni mbaya kuliko kutohariri kabisa.

Mara unapopata UUID, weka kwenye kigezo na tumia kigezo hicho katika kila amri inayofuata. Hiyo huondoa tabaka zima la makosa ya kunakili na kubandika na kuifanya nakala iweze kuzalishwa tena.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Hatua 3: amua kama kihariri cha picha ndicho chombo sahihi

Kihariri kinachohitaji ombi la polkit au wakala wa siri hakitapata hiyo kwa sababu tu dirisha lake linaonekana kwenye kompyuta yako ya mkononi. Vipengele hivyo hufanya kazi katika muktadha wa kipindi cha mbali, na upelekaji wa skrini hauvipeleki. Ikiwa kihariri hakitaweza kuhifadhi kwa hitilafu ya idhini au siri, tatizo si skrini.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH huwezesha upelekaji wa X11 kwa -X na huandika tahadhari inayoambatana na hilo: mwenyeji wa mbali anaweza kufikia skrini yako ya ndani, ambayo ni mpaka halisi wa uaminifu. Upelekaji unaoaminika kwa -Y huondoa baadhi ya ukaguzi huo na haupaswi kamwe kuwa suluhisho la hiari kwa programu inayoshindwa chini ya mipangilio ya chaguo-msingi. Ikiwa shirika lako linachapisha mbinu ya utawala wa mbali, tumia hiyo badala ya kubuni lahaja. Mara nyingi kihariri cha mstari wa amri ni uso mdogo na jibu bora.

Simama hapa ikiwa njia pekee inayofanya kazi inahitaji -Y na huwezi kueleza kwa nini. Hilo ni uamuzi kwa mmiliki wa sera ya usalama, si njia ya kukwepa kuwekwa kwenye hati ya kibinafsi.

Hatua 4: weka njia ya kurejesha kabla ya kuwezesha kitu chochote

Mabadiliko ya VPN yanaweza kuondoa njia ambayo kipindi chako cha SSH inategemea, kwa hiyo panga njia ya kurudi kabla ya kuwezesha wasifu. Ufikiaji wa konsoli, anwani ya usimamizi ya nje au urejeshaji uliopangwa vyote vinahesabiwa; matumaini kwamba mabadiliko yatafanya kazi hayahesabiwi.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Washa wasifu uliokusudiwa pekee, kisha thibitisha kutoka kwa mwenyeji wa mbali: njia ya chaguo-msingi, njia ya kurudi ya SSH na rasilimali moja inayopaswa kufikiwa kupitia handaki. Ukaguzi uliofanikiwa kutoka kwenye kompyuta yako ya mkononi hujaribu njia ya kompyuta ya mkononi na hausemi chochote kuhusu mwenyeji wa mbali. Ikiwa kipindi kitaanguka, tumia njia ya kurejesha badala ya kuunganisha tena kwa upofu. Kuhifadhi wasifu si kuwezesha, na kuwezesha si uthibitisho.

Andika UUID, thamani za sifa ulizobadilisha na amri ulizotumia kuzithibitisha. Mtu anayefuata kugusa mwenyeji huyu atahitaji zote tatu, na nakala ina thamani zaidi kuliko muhtasari unaosema VPN ilirekebishwa. Orodha ya ukaguzi inayoishia bila dokezo la kurejesha ni nusu ya orodha.