Naghihintay ang OpenVPN sa isang systemd password request: dapat mo bang sagutin?

May mensaheng lumilitaw tungkol sa systemd-tty-ask-password-agent sa terminal, at hindi nakaangat ang tunnel. Ang nakakaakit na pagbasa ay tinanggihan ng VPN ang isang password at may naghihintay na ngayon ng pagwawasto. Mas tumpak na sabihing humiling ang isang serbisyo sa systemd ng interactive na input, at hindi pa nasasagot ang hiling. Aling serbisyo ang nagtanong at anong lihim ang gusto nito ay dalawang tanong na maaari mong ayusin bago mag-type ng kahit ano.

Dalawang kundisyon ang nagpapasya kung sino ang dapat sumagot

Ang unang kundisyon ay kung sinadya mong sinimulan ang instance na ito. Ang hiling na sumusunod sa isang aksyon na ginawa mo ay sa iyo sagutin, at ang lumilitaw na walang katumbas na aksyon ay pag-aari ng ibang bagay. Ang pangalawa ay kung ang lihim ay pagpapatunay ng account o proteksyon ng key, dahil nakatira ang mga ito sa magkaibang lugar at naglalakbay sa magkaibang landas ng code. Pareho ang mga sagot ay makikita sa journal kung titingin ka bago kumilos.

Kapag malinaw ang dalawang sagot, simple ang desisyon: sumagot sa pamamagitan ng sariling sinusuportahang landas ng hiling ng serbisyo. Kapag may malabo, ang tamang hakbang ay mag-imbestiga sa halip na mag-type ng password sa isang prompt na hindi mo maipapaliwanag.

Iyon ang buong tuntunin, at sulit itong sabihin bago ang mga command. Ang lahat sa ibaba ay sumusunod dito.

Ilista ang hiling bago ka mag-type ng kahit ano

Maaaring ilista ng agent kung ano ang nakabinbin nang hindi sumasagot sa kahit ano. Ang sudo systemd-tty-ask-password-agent --list ay nagpi-print ng mga natitirang hiling, at ang output na iyon ay ang ebidensyang kailangan mo para iugnay ang isang prompt sa isang unit. Basahin ito bago magbigay ng kredensyal, at ilayo ang mga paglalarawan ng hiling sa anumang pampublikong diagnostic na paste.

Iugnay ang listahan sa operasyong sinimulan mo at sa unit na nagmamay-ari nito. Kung walang tumutugma sa listahan sa iyong aksyon, ang prompt na nakita mo ay pag-aari ng ibang serbisyo at hindi mo tungkuling lutasin. Ang pangalan ng unit sa listahan ang tanging maaasahang ugnayan sa pagitan ng prompt at serbisyo.

Huwag sagutin ang hiling na hindi mo maipapaliwanag. Ang halaga ng paghihintay ay pagkaantala, samantalang ang halaga ng pagsagot sa maling prompt ay kredensyal sa maling lugar.

Anong lihim ang talagang kailangan ng instance?

Ang auth-user-pass ay tungkol sa pagpapatunay ng account sa serbisyong VPN, at kung walang file ng kredensyal ang dokumentadong gawi ay magtanong sa console. Ang askpass sa halip ay kumukuha ng passphrase na nagbubukas ng protektadong key material, at ginagawa ito bago pumasok ang proseso sa background. Magkaibang lihim ang mga ito na may magkaibang haba ng buhay.

Magkaiba rin ang mga format ng file. Inaasahan ng account form ang isang linya ng username at isang linya ng password, samantalang binabasa ng key-passphrase file ang unang linya bilang password nito. Ang pagkopya ng recipe ng credential file mula sa kabilang papel ay karaniwang gumagawa ng isa pang prompt sa halip na solusyon. Ang file na mali ang hugis ay mas masama kaysa walang file, dahil lumilipat ang kabiguan sa lugar na walang nagbabantay.

Tingnan kung aling direktiba ang ginagamit ng instance bago magpasya kung ano ang ita-type. Sinasabi ng pangalan ng direktiba kung aling lihim ang para sa prompt.

Ano ang ginagawa ng --query na hindi ginagawa ng --list

Pinoproseso ng --query ang bawat nakabinbing hiling sa terminal na tumatawag, na mas malawak na aksyon kaysa sa pagsagot sa isang prompt. Hindi ito tagapili ng OpenVPN, at sa abalang makina ay maaari itong sumagot sa mga hiling ng ibang unit. Mas malawak pa ang watch mode, dahil patuloy nitong pinoproseso ang mga hiling pagdating nila.

Gamitin ang pinakamakitid na mekanismong gumagana. Para sa isang serbisyo, ang sariling daloy ng hiling ng serbisyong iyon ay mas makitid kaysa sa isang pandaigdigang agent, at pinapanatili nitong nakakabit ang sagot sa unit na nagtanong.

Ang gawing pandaigdigang agent na walang tagapagmasid ang isang minsanang hiling dahil isang beses lang lumitaw ang isang abiso ay ang paraan kung paano nagiging permanenteng disenyo ang pansamantalang istorbo. Ganoon din ang pag-iingat sa pagpapahinto ng mga unit ng abiso ng password sa buong host.

Magpasya, pagkatapos itala ang pinili

Para sa deployment na walang tagapagmasid, sumang-ayon sa may-ari ng koneksyon tungkol sa pinagmulan ng kredensyal, mga pahintulot ng file at iskedyul ng pag-renew. Ang isang interactive na pangalawang salik ay maaaring mangailangan ng tao o ng nakalaang pagkakakilanlan ng serbisyo. Ang pagsugpo sa prompt ay hindi gumagawa ng pagpapatunay na iyon, at ang pag-alis ng auth-user-pass ay sumisira lamang sa serbisyong nangangailangan nito.

Pagkatapos ng interaksyon, tingnan ang parehong instance para sa susunod nitong pangyayari at subukan ang pribadong mapagkukunan. Kung wala nang nakabinbin, bumalik sa kalagayan ng instance sa halip na simulan ang bawat unit ng OpenVPN sa host.