nmcli sürekli VPN parolasını soruyor: sırrı yerel olarak saklayın

Aynı profil, iki oturum: masaüstünden bağlanıyor, SSH üzerinden ise hiçbir şeyin yanıtlayamadığı bir istemde takılıyor. Hiçbir şey bozuk değil ve hiçbir ayar kaybolmadı. NetworkManager kimlik bilgisini gizli bir ajandan istiyor, gizli ajan ise kullandığınız oturumda bulunmayan bir masaüstü bileşenidir.

Aşağıdaki diziyi çalıştırın ve tünel grafik arayüz olmadan ayağa kalksın; ancak bir sırrı saklamanın o profili kimin kullanabileceğini değiştirdiğini unutmayın.

Herhangi bir şeyi değiştirmeden önce tanıyı doğrulayın

Etkileşimli ve etkileşimsiz etkinleştirme arasındaki fark tanının tamamıdır. nmcli --ask connection up başarılı olurken normal etkinleştirme takılıyorsa profil doğrudur ve sırrın kaynağı eksiktir. Bu tek karşılaştırma sizi çalışan bir yapılandırmayı yeniden yazmaktan kurtarır.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Bayrakları tahmin etmek yerine okuyun. "Bir ajana sor" anlamına gelen değerler aradığınız şeydir ve tam anahtar adları VPN eklentileri arasında farklıdır çünkü eklentinin kendi veri sözlüğünde yaşarlar. Bir FortiSSL profili ile bir IPsec profili mutlaka aynı adları kullanmaz, bu yüzden kendi profilinizin çıktısından çalışın.

O protokolün eklenti paketinin kurulu olduğunu da doğrulayın. Eksik bir eklenti bilinmeyen bağlantı türü ya da parolalar hakkında hiçbir şey söylemeyen bir etkinleştirme hatası olarak görünür ve o durumda sırrın peşinden koşmak aynı saati iki kez boşa harcar. Tek bir paket sorgusu, anahtar dosyalarını düzenleyerek geçirilecek koca bir öğleden sonradan daha ucuzdur.

Sırrı anahtar dosyasına taşıyın

Bağlantı dosyası /etc/NetworkManager/system-connections/ altında yaşar. Sırlar orada varsayılan olarak tutulmaz ve az önce okuduğunuz bayrakların amacı budur. Bir bayrağı sıfıra çevirmek NetworkManager'a değerin etkinleştirme sırasında istenmek yerine profille birlikte saklandığını söyler.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

İki sırrı olan bir profil için desen tekrarlanır: [vpn] bölümünde her sır için bir bayrak, değerler ise [vpn-secrets] içinde. Bir IPsec profili genellikle kullanıcı kimlik bilgisinin yanında önceden paylaşılmış bir anahtar taşır ve eklenti bunları normal bir parola alanından farklı adlandırır, bu yüzden anahtar adlarını başka bir eklenti kullanan bir blog yazısından değil vpn.data çıktısından kopyalayın. Tek bir yanlış anahtar adı, yüklenen ve ardından kimlik doğrulamada başarısız olan bir profil üretir; bu da tam olarak yanlış parola gibi okunur. Yeniden bağlanmadan önce dosyanızı aynı eklentinin çalışan bir profiliyle karşılaştırın.

Boşluk, tırnak veya dolar işareti içeren değerleri tırnak içine alın. İçinde $ bulunan tırnaksız bir değer, nerede ayrıştırıldığına bağlı olarak olduğu gibi okunur veya genişletilir ve ortaya çıkan kimlik doğrulama hatası yanlış parola gibi görünür.

Ardından dosyanın sahipliğini ve iznini düzeltin. Bu anahtar dosyaları ayrıcalıklı bir hizmet okur ve diğer kullanıcıların okuyabildiği bir dosya güvenilmez sayılır; düzenlenmiş bir profilin yok sayılıyor gibi görünmesinin olağan nedeni budur. Sahip root, izin 600, istisna yok.

Yeniden yükleyin, sonra etkinleştirin

Dosya bağlantı yüklenirken okunur, bu yüzden onu düzenlemek yeterli değildir. Profilleri yeniden yükleyin ve ardından bağlantıyı açıkça ayağa kaldırın.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Yeniden yükleme değişikliği almazsa, hizmetin tam yeniden başlatılması alır ve tam olarak bununla ilgili raporlar vardır. Başka bağlantılar önemliyse yeniden yüklemeyi tercih edin, çünkü hizmeti yeniden başlatmak yönetilen her bağlantıyı koparır ve uzak bir ana bilgisayarda bu, istediğiniz tünel açılmadan oturumunuzu sonlandırabilir.

Adlar belirsizse UUID kullanın. Birden çok müşteri profili olan makineler neredeyse kopyalar biriktirir ve yanlış olanı etkinleştirmek kimlik bilgisi sorunu gibi görünen bir hataya yol açar.

Saklanan sır sorun olmadığında

Bir FortiSSL profili, doğru saklanmış kimlik bilgisiyle bile başarısız olabilir çünkü istemci ağ geçidinin sertifikasına asla güvenmez. Bu ayar ana iletişim kutusunda değildir; VPN'in gelişmiş seçeneklerinin arkasındadır ve güvenilen sertifikanın özeti oraya girilir. Günlük parola yerine sertifikadan söz ediyorsa bu daldasınız ve [vpn-secrets] üzerinde ne kadar düzenleme yaparsanız yapın yardımcı olmaz.

Buraya iki kontrol daha girer. Profilin, eklentinin okuyamadığı bir yola hâlâ işaret eden bir dosyadan içe aktarılmadığını doğrulayın ve profilin eski bir kopya değil etkin olan olduğunu doğrulayın. İkisi de kimlik doğrulama hatası gibi okunan etkinleştirme başarısızlıkları üretir.

Saklamanın kabul edilebilir olup olmadığına karar verin

Saklanan PSK ve parola o makinede root olarak çalışan her şey tarafından okunabilir. Kontrol ettiğiniz bir makinede bu, arayüzsüz bir hizmet için makul bir takastır. Paylaşılan bir ana bilgisayarda bir konuşmayı hak eder, çünkü profil artık önceden masaüstü anahtarlığı tarafından korunan bir kimlik bilgisi içeriyor. Karar vermeden önce o ana bilgisayarda başka kimin root'a erişebildiğini sorun, değişiklik uygulandıktan sonra değil.

Politika saklanan VPN sırlarını yasaklıyorsa, bir cron görevinin çalışması için profili zayıflatmayın. Bağlantıyı ajanı olan bir oturumdan çalıştırın ya da otomasyon için başka bir mekanizma kullanın.

Son olarak, hangi profillerin sır taşıdığını not edin ki kimse fark etmeden birini dizüstü bilgisayara kopyalamasın. Sırlar bölümünün üstüne tarih ve gerekçe içeren bir yorum yeterlidir ve birine daha sonra yaşanacak tatsız bir incelemeyi önler.