OpenVPN bir systemd parola isteğini bekliyor: yanıtlamalı mısınız?

Terminalde systemd-tty-ask-password-agent hakkında bir ileti görünüyor ve tünel ayakta değil. Cazip okuma, VPN'in bir parolayı reddettiği ve bir şeyin artık bir düzeltmeyi beklediğidir. Daha doğrusu, bir hizmet systemd'den etkileşimli girdi istedi ve talep henüz yanıtlanmadı. Hangi hizmetin sorduğu ve hangi sırrı istediği, herhangi bir şey yazmadan önce çözebileceğiniz iki sorudur.

Kimin yanıtlaması gerektiğine iki koşul karar verir

İlk koşul, bu örneği bilerek başlatıp başlatmadığınızdır. Sizin bir eyleminizi izleyen talep yanıtlamak size aittir ve karşılık gelen bir eylem olmadan beliren talep başka bir şeye aittir. İkincisi, sırrın hesap kimlik doğrulaması mı yoksa anahtar koruması mı olduğudur, çünkü bunlar farklı yerlerde yaşar ve farklı kod yollarından geçer. Hareket etmeden önce bakarsanız her iki yanıt da günlükte görünür.

Her iki yanıt da açıksa karar basittir: hizmetin kendi desteklenen istem yolu üzerinden yanıtlayın. Herhangi biri belirsizse doğru adım, atfedemediğiniz bir isteme parola yazmak değil, araştırmaktır.

Kuralın tamamı budur ve komutlardan önce söylenmeye değer. Aşağıdaki her şey bundan doğar.

Herhangi bir şey yazmadan önce talebi listeleyin

Ajan, hiçbir şeyi yanıtlamadan neyin beklemede olduğunu listeleyebilir. sudo systemd-tty-ask-password-agent --list bekleyen talepleri yazdırır ve bu çıktı, bir istemi bir birime bağlamak için gereken kanıttır. Bir kimlik bilgisi vermeden önce okuyun ve talep açıklamalarını herkese açık herhangi bir tanılama yapıştırmasının dışında tutun.

Listeyi başlattığınız işlemle ve onu sahiplenen birimle ilişkilendirin. Listede hiçbir şey eyleminizle eşleşmiyorsa gördüğünüz istem başka bir hizmete aittir ve çözmek sizin işiniz değildir. Listedeki birim adı, bir istem ile bir hizmet arasındaki tek güvenilir bağdır.

Atfedemediğiniz bir talebi yanıtlamayın. Beklemenin bedeli gecikmedir, yanlış istemi yanıtlamanın bedeli ise yanlış yerde bir kimlik bilgisidir.

Örneğin gerçekte hangi sırra ihtiyacı var?

auth-user-pass VPN hizmetine hesap kimlik doğrulamasıyla ilgilidir ve kimlik bilgisi dosyası olmadan belgelenen davranış konsolda sormaktır. askpass ise korunan anahtar malzemesini açan parola ifadesini alır ve bunu süreç arka plana geçmeden önce yapar. Bunlar farklı ömürlere sahip farklı sırlardır.

Dosya biçimleri de farklıdır. Hesap biçimi bir kullanıcı adı satırı ve bir parola satırı beklerken anahtar parola ifadesi dosyası ilk satırı kendi parolası olarak okur. Diğer rolden bir kimlik bilgisi dosyası tarifi kopyalamak genellikle çözüm yerine bir istem daha üretir. Yanlış biçimli bir dosya hiç dosya olmamasından daha kötüdür, çünkü hata kimsenin izlemediği bir yere taşınır.

Ne yazacağınıza karar vermeden önce örneğin hangi yönergeyi kullandığını denetleyin. Yönergenin adı istemin hangi sır için olduğunu söyler.

--query ne yapar da --list yapmaz

--query çağıran terminaldeki her bekleyen talebi işler, bu da tek bir istemi yanıtlamaktan çok daha geniş bir eylemdir. Bir OpenVPN seçicisi değildir ve yoğun bir makinede başka birimlere ait talepleri yanıtlayabilir. İzleme kipi daha da geniştir, çünkü talepler geldikçe onları işlemeye devam eder.

İşleyen en dar mekanizmayı kullanın. Tek bir hizmet için o hizmetin kendi istem akışı küresel bir ajandan daha dardır ve yanıtı soran birime bağlı tutar.

Bir bildirim bir kez göründü diye tek seferlik bir talebi gözetimsiz küresel bir ajana dönüştürmek — geçici bir can sıkıntısının kalıcı bir tasarıma dönüşme yoludur. Aynı dikkat, parola bildirim birimlerini tüm ana makinede devre dışı bırakmak için de geçerlidir.

Karar verin, sonra seçimi kaydedin

Gözetimsiz bir kurulum için kimlik bilgisi kaynağını, dosya izinlerini ve yenileme takvimini bağlantının sahibiyle kararlaştırın. Etkileşimli bir ikinci faktör bir kişiye veya özel bir hizmet kimliğine ihtiyaç duyabilir. İstemi bastırmak o kimlik doğrulamayı üretmez ve auth-user-pass öğesini kaldırmak yalnızca ona ihtiyaç duyan hizmeti bozar.

Etkileşimden sonra aynı örneğe bir sonraki olayı için bakın ve özel kaynağı sınayın. Bekleyen bir şey yoksa ana makinedeki her OpenVPN birimini başlatmak yerine örneğin durumuna dönün.