SSH üzerinden uzak VPN düzenleyicisi: hangi makineyi düzenliyorsunuz?

X11 yönlendirmesi düzenleyicinin penceresini dizüstü bilgisayarınıza koyar, süreç uzak ana bilgisayarda çalışmaya devam eder. Bu boşluk tuzağın tamamıdır: yerel bir pencereye bakıp uzak bir profili düzenliyorsunuz ve değişikliğin hangi makineye ait olduğuna dair yanlış bir varsayım, üzerinde çalıştığınız SSH bağlantısını koparabilir. Aşağıdaki kontrol listesi herhangi bir şey kaydedilmeden önce ana bilgisayarı ve profili sabitler. Her adımın bir durma koşulu vardır, bu yüzden erken bir hata ucuzdur.

Adım 1: profili sahip olan makineyi adlandırın

Yapılandıracağınız kabukta kimlik komutlarını çalıştırın ve yanıtı istemden tahmin etmek yerine okuyun. İstemdeki ana bilgisayar adı, kabuğunuzun yazdırdığı bir dizedir; çekirdeğin ana bilgisayar adı, bu listenin geri kalanının güvendiği değerdir. İkisi uyuşmuyorsa yanlış makinedesiniz veya istem yerel kabuğunuz tarafından süslenmiştir. Durdurun ve devam etmeden önce amaçlanan ana bilgisayara yeniden bağlanın.

hostnamectl
hostname -f
ip -brief address

Sonraki soru, bu makinenin VPN'i barındırıp barındırmaması gerektiğidir. Dizüstü bilgisayarın istemcisini yapılandırmak ve uzak ana bilgisayarın istemcisini yapılandırmak farklı rotalar, farklı DNS ve farklı hata modları üretir. Bir profile dokunmadan önce hangisini kastettiğinize karar verin ve kararı bir sonraki kişinin bulacağı yere yazın.

Adım 2: profili etiketle değil, UUID ile okuyun

NetworkManager bir bağlantıyı UUID ile tanımlar, ad ise herkesin düzenleyebileceği veya çoğaltabileceği bir etikettir. İkisini de listeleyin ve gerçekten kastettiğiniz girdiyi eşleştirin, özellikle yıllar içinde birkaç VPN profilinin içe aktarıldığı bir ana bilgisayarda.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show --active
nmcli general permissions

Kayıtlı girdiler ve etkin bağlantılar farklı soruları yanıtlar: birincisi neyin var olduğunu, ikincisi şu anda neyin trafik taşıdığını listeler. İzinler satırı oturumunuz için yerel politikayı tanımlar ve VPN ağ geçidinin hesabı kabul edip etmeyeceği hakkında hiçbir şey söylemez. İhtiyacınız olan profil kayıtlı listede yoksa burada durun, çünkü yanlış girdiyi düzenlemek hiç düzenlememekten daha kötüdür.

UUID'yi aldıktan sonra bir değişkene koyun ve sonraki her komutta bu değişkeni kullanın. Bu, kopyala-yapıştır hatalarının bütün bir sınıfını ortadan kaldırır ve kaydı yeniden üretilebilir kılar.

UUID=$(nmcli -g UUID connection show 'Corp VPN')
nmcli connection edit uuid "$UUID"

Adım 3: grafik düzenleyicinin doğru araç olup olmadığına karar verin

polkit istemi veya gizli anahtar ajanı gerektiren bir düzenleyici, penceresi dizüstü bilgisayarınızda göründüğü için bunları alamaz. Bu bileşenler uzak oturumun bağlamında çalışır ve bir görüntünün yönlendirilmesi onları yönlendirmez. Düzenleyici yetkilendirme veya gizli anahtar hatasıyla kaydedemiyorsa, sorun görüntüde değildir.

echo "$DISPLAY"
ssh -X you@vpn-host
xauth list

OpenSSH, X11 yönlendirmesini şununla etkinleştirir: -X ve bununla gelen dikkati belgeler: uzak ana bilgisayar yerel görüntünüze ulaşabilir, bu da gerçek bir güven sınırıdır. Güvenilir yönlendirme -Y şununla bu kontrollerin bir kısmını kaldırır ve varsayılan ayarlar altında başarısız olan bir uygulama için asla refleks çözümü olmamalıdır. Kuruluşunuz uzaktan yönetim yöntemi yayımlıyorsa, bir varyant icat etmek yerine onu kullanın. Çoğu durumda komut satırı düzenleyicisi daha küçük yüzey ve daha iyi yanıttır.

Tek çalışan yol şunu gerektiriyorsa burada durun: -Y ve nedenini açıklayamıyorsanız. Bu, güvenlik politikasının sahibinin kararıdır, kişisel bir betikte tutulacak bir kestirme değildir.

Adım 4: herhangi bir şeyi etkinleştirmeden önce bir kurtarma yolu tutun

Bir VPN değişikliği, SSH oturumunuzun bağlı olduğu rotayı kaldırabilir, bu yüzden profili etkinleştirmeden önce geri dönüş yolunu hazırlayın. Konsol erişimi, bant dışı bir yönetim adresi veya planlanmış bir geri alma hepsi sayılır; değişikliğin işe yarayacağı umudu sayılmaz.

sudo systemctl status NetworkManager
ip route show default
ss -tn state established '( sport = :22 )'

Yalnızca amaçlanan profili etkinleştirin, ardından uzak ana bilgisayardan doğrulayın: varsayılan rota, SSH dönüş yolu ve tünel üzerinden erişilebilir olması gereken bir kaynak. Dizüstü bilgisayarınızdan yapılan başarılı bir kontrol dizüstü bilgisayarın yolunu test eder ve uzak ana bilgisayar hakkında hiçbir şey söylemez. Oturum düşerse, körü körüne yeniden bağlanmak yerine kurtarma yolunu kullanın. Bir profili kaydetmek etkinleştirme değildir ve etkinleştirme doğrulama değildir.

UUID'yi, değiştirdiğiniz özellik değerlerini ve bunları doğrulamak için kullandığınız komutları not edin. Bu ana bilgisayara bir sonraki dokunan kişi üçüne de ihtiyaç duyacak ve bir kayıt, VPN'in düzeltildiğini söyleyen bir özetten daha değerlidir. Geri alma notu olmadan biten bir kontrol listesi yarım listedir.