Remote na VPN editor sa SSH: aling makina ang ine-edit mo?

Inilalagay ng X11 forwarding ang window ng editor sa iyong laptop habang ang proseso ay patuloy na tumatakbo sa remote host. Ang agwat na iyon ang buong bitag: tumitingin ka sa lokal na window at nag-e-edit ng remote na profile, at ang maling pag-aakala kung aling makina ang may-ari ng pagbabago ay maaaring maputol ang SSH link na ginagamit mo. Ang checklist sa ibaba ay nagtatakda ng host at profile bago mag-save ng anuman. Bawat hakbang ay may kondisyon ng paghinto, kaya ang maagang pagkabigo ay mura.

Hakbang 1: pangalanan ang makina na may-ari ng profile

Patakbuhin ang mga command ng identity sa shell na iyong iko-configure, at basahin ang sagot sa halip na hulaan ito mula sa prompt. Ang hostname sa prompt ay isang string na inilimbag ng iyong shell; ang hostname ng kernel ang pinagkakatiwalaan ng natitirang bahagi ng listahang ito. Kung hindi magkatugma ang dalawa, nasa maling makina ka o ang prompt ay pinalamutian ng iyong lokal na shell. Huminto at muling kumonekta sa nilalayong host bago magpatuloy.

hostnamectl
hostname -f
ip -brief address

Ang susunod na tanong ay kung dapat bang hawakan ng makinang ito ang VPN. Ang pag-configure sa client ng laptop at pag-configure sa client ng remote host ay gumagawa ng magkaibang ruta, magkaibang DNS at magkaibang paraan ng pagkabigo. Magpasya kung alin ang ibig mong sabihin bago hawakan ang isang profile, at isulat ang desisyon kung saan ito makikita ng susunod na tao.

Hakbang 2: basahin ang profile sa pamamagitan ng UUID, hindi ng label

Kinikilala ng NetworkManager ang isang koneksyon sa pamamagitan ng UUID, habang ang pangalan ay isang label na kahit sino ay maaaring i-edit o kopyahin. Ilista ang dalawa at itugma ang entry na talagang ibig mo, lalo na sa host kung saan maraming VPN profile ang na-import sa loob ng mga taon.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Ang mga naka-save na entry at aktibong koneksyon ay sumasagot sa magkaibang tanong: ang una ay naglilista ng umiiral, ang pangalawa ay naglilista ng nagdadala ng trapiko ngayon. Ang linya ng mga pahintulot ay naglalarawan ng lokal na patakaran para sa iyong session at walang sinasabi tungkol sa kung tatanggapin ng VPN gateway ang account. Kung ang profile na kailangan mo ay wala sa naka-save na listahan, huminto dito, dahil ang pag-edit ng maling entry ay mas malala kaysa sa hindi pag-edit.

Kapag mayroon ka nang UUID, ilagay ito sa isang variable at gamitin ang variable na iyon sa bawat susunod na command. Tinatanggal nito ang isang buong klase ng mga error sa pagkopya at pag-paste at ginagawang maaaring muling gawin ang transcript.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Hakbang 3: magpasya kung ang graphical na editor ang tamang tool

Ang editor na nangangailangan ng polkit prompt o secret agent ay hindi makakakuha nito dahil lang sa lumilitaw ang window nito sa iyong laptop. Ang mga bahaging iyon ay tumatakbo sa konteksto ng remote session, at ang pag-forward ng display ay hindi nagpapasa sa kanila. Kung ang editor ay hindi makapag-save dahil sa error sa awtorisasyon o sekreto, hindi ang display ang problema.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

Pinapagana ng OpenSSH ang X11 forwarding gamit ang -X at idinodokumento ang pag-iingat na kasama nito: maaaring maabot ng remote host ang iyong lokal na display, na isang tunay na hangganan ng pagtitiwala. Ang pinagkakatiwalaang forwarding gamit ang -Y ay nag-aalis ng ilan sa mga pagsusuring iyon at hindi kailanman dapat maging reflex na solusyon para sa isang app na nabibigo sa ilalim ng default. Kung ang iyong organisasyon ay naglalathala ng paraan ng remote administration, gamitin iyon sa halip na gumawa ng variant. Sa karamihan ng kaso ang command-line editor ang mas maliit na surface at ang mas mabuting sagot.

Huminto dito kung ang tanging gumaganang landas ay nangangailangan ng -Y at hindi mo maipaliwanag kung bakit. Iyon ay desisyon para sa may-ari ng patakaran sa seguridad, hindi isang paraan ng pag-iwas na itatago sa personal na script.

Hakbang 4: panatilihin ang isang landas ng pagbawi bago mo i-activate ang anuman

Ang pagbabago ng VPN ay maaaring mag-alis ng rutang umaasa ang iyong SSH session, kaya maghanda ng daan pabalik bago i-activate ang profile. Ang console access, isang out-of-band management address o isang naka-iskedyul na rollback ay lahat binibilang; ang pag-asa na gagana ang pagbabago ay hindi binibilang.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

I-activate lamang ang nilalayong profile, pagkatapos ay i-verify mula sa remote host: ang default na ruta, ang SSH return path at isang resource na dapat maabot sa pamamagitan ng tunnel. Ang matagumpay na pagsusuri mula sa iyong laptop ay sumusubok sa landas ng laptop at walang sinasabi tungkol sa remote host. Kung bumagsak ang session, gamitin ang landas ng pagbawi sa halip na kumonekta muli nang walang pag-iingat. Ang pag-save ng profile ay hindi activation, at ang activation ay hindi verification.

Itala ang UUID, ang mga value ng property na binago mo at ang mga command na ginamit mo upang i-verify ang mga ito. Ang susunod na taong humawak sa host na ito ay mangangailangan ng tatlo, at ang transcript ay mas mahalaga kaysa sa buod na nagsasabing naayos ang VPN. Ang checklist na nagtatapos nang walang tala ng rollback ay kalahating listahan.