Patuloy na hinihingi ng nmcli ang password ng VPN: itago ang sikreto sa lokal

Parehong profile, dalawang session: kumokonekta ito mula sa desktop at bumabitin sa SSH sa isang prompt na walang makakasagot. Walang sira at walang setting na nawala. Hinihingi ng NetworkManager ang kredensyal sa isang secret agent, at ang secret agent ay bahagi ng desktop na wala sa session na ginagamit mo.

Patakbuhin ang sequence sa ibaba at aangat ang tunnel nang walang graphical interface, sa kondisyon na ang pag-iimbak ng sikreto ay nagbabago kung sino ang makakagamit ng profile na iyon.

Kumpirmahin ang diagnosis bago magbago ng kahit ano

Ang pagkakaiba ng interactive at non-interactive na activation ang buong diagnosis. Kung nagtagumpay ang nmcli --ask connection up habang natigil ang ordinaryong activation, tama ang profile at kulang ang pinagmulan ng sikreto. Ang isang paghahambing na iyon ay nagliligtas sa iyo mula sa muling pagsulat ng gumaganang configuration.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Basahin ang mga flag sa halip na hulaan ang mga ito. Ang mga halagang nangangahulugang "tanungin ang isang agent" ang hinahanap mo, at nagkakaiba ang eksaktong pangalan ng mga key sa mga plugin ng VPN dahil naninirahan sila sa sariling data dictionary ng plugin. Hindi kinakailangang pareho ang mga pangalan sa isang FortiSSL profile at isang IPsec profile, kaya magtrabaho mula sa output ng sarili mong profile.

Tiyakin din na naka-install ang plugin package para sa protocol na iyon. Ang kulang na plugin ay lumilitaw bilang hindi kilalang uri ng koneksyon o bilang error sa activation na walang sinasabi tungkol sa mga password, at ang paghabol sa sikreto sa ganoong kalagayan ay dalawang beses na nagsasayang ng parehong oras. Ang isang query sa package ay mas mura kaysa sa isang buong hapon ng pag-edit ng mga keyfile.

Ilipat ang sikreto sa keyfile

Ang connection file ay nasa ilalim ng /etc/NetworkManager/system-connections/. Hindi ito iniimbak doon ng mga sikreto bilang default, at iyon ang punto ng mga flag na binasa mo lang. Ang pagpapalit ng flag sa zero ay nagsasabi sa NetworkManager na ang halaga ay nakaimbak kasama ng profile sa halip na hilingin sa oras ng activation.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Para sa isang profile na may dalawang sikreto, inuulit ang pattern: isang flag bawat sikreto sa seksyong [vpn], at ang mga halaga sa [vpn-secrets]. Ang isang IPsec profile ay karaniwang may dalang pre-shared key kasama ng kredensyal ng user, at iba ang ipinapangalan ng plugin sa mga ito kaysa sa ordinaryong field ng password, kaya kopyahin ang mga pangalan ng key mula sa output ng vpn.data sa halip na mula sa blog post na gumamit ng ibang plugin. Ang isang maling pangalan ng key ay gumagawa ng profile na naglo-load at pagkatapos ay nabigo sa authentication, na eksaktong binabasa na parang maling password. Ihambing ang iyong file sa isang gumaganang profile ng parehong plugin bago muling kumonekta.

Ilagay sa mga panipi ang mga halagang naglalaman ng espasyo, panipi o tanda ng dolyar. Ang halagang walang panipi na may $ sa loob ay babasahin nang literal o papalawakin depende sa kung saan ito pinoproseso, at ang resultang kabiguan sa authentication ay mukhang maling password.

Pagkatapos ay ayusin ang pagmamay-ari at mode ng file. Binabasa ng isang privileged na serbisyo ang mga keyfile na ito, at ang file na nababasa ng ibang user ay itinuturing na hindi mapagkakatiwalaan, na siyang karaniwang dahilan kung bakit lumilitaw na binabalewala ang na-edit na profile. May-ari root, mode 600, walang eksepsiyon.

I-reload, pagkatapos ay i-activate

Binabasa ang file kapag naglo-load ang koneksyon, kaya hindi sapat ang pag-edit nito. I-reload ang mga profile at pagkatapos ay itaas nang tahasan ang koneksyon.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Kung hindi makuha ng reload ang pagbabago, kaya itong gawin ng buong restart ng serbisyo, at may mga ulat tungkol doon mismo. Mas mainam ang reload kapag may halaga ang ibang link, dahil pinuputol ng restart ng serbisyo ang bawat pinamamahalaang koneksyon, at sa malayong host maaaring tapusin nito ang iyong session bago pa umangat ang tunnel na gusto mo.

Gamitin ang UUID kapag malabo ang mga pangalan. Ang mga makina na may ilang customer profile ay nag-iipon ng halos duplicate, at ang pag-activate ng mali ay gumagawa ng kabiguan na mukhang problema sa kredensyal.

Kapag hindi ang nakaimbak na sikreto ang problema

Maaaring mabigo ang isang FortiSSL profile kahit may tamang nakaimbak na kredensyal dahil hindi kailanman nagtitiwala ang client sa certificate ng gateway. Wala ang setting na iyon sa pangunahing dialog; nasa likod ito ng mga advanced na opsyon para sa VPN, kung saan inilalagay ang digest ng pinagkakatiwalaang certificate. Kung binabanggit ng log ang certificate sa halip na ang password, nasa sangay na ito at walang anumang dami ng pag-edit ng [vpn-secrets] ang makakatulong.

May dalawa pang pagsusuri na nabibilang dito. Tiyakin na hindi na-import ang profile mula sa file na tumuturo pa rin sa path na hindi mabasa ng plugin, at tiyakin na ang profile ang aktibo at hindi isang lumang duplicate. Pareho silang gumagawa ng mga kabiguan sa activation na binabasa na parang error sa authentication.

Magpasya kung katanggap-tanggap ang pag-iimbak

Ang nakaimbak na PSK at password ay nababasa ng anumang tumatakbo bilang root sa makinang iyon. Sa makina na kinokontrol mo, makatwirang palitan iyon para sa serbisyong walang GUI. Sa shared host, karapat-dapat itong pag-usapan, dahil may kredensyal na ngayon ang profile na dati ay pinoprotektahan ng keyring ng desktop. Itanong kung sino pa ang makakaabot sa root sa host na iyon bago magpasya, hindi pagkatapos na mailagay ang pagbabago.

Kung ipinagbabawal ng patakaran ang pag-iimbak ng mga sikreto ng VPN, huwag pahinain ang profile para gumana ang isang cron job. Patakbuhin ang koneksyon mula sa session na may agent, o gumamit ng ibang mekanismo para sa automation.

Sa huli, itala kung aling mga profile ang may dalang sikreto para walang makakopya ng isa sa laptop nang hindi napapansin. Sapat na ang komento sa itaas ng seksyon ng sikreto na may petsa at dahilan, at makakatipid ito sa isang tao ng awkward na review mamaya.