nmcli doim VPN parolini so'raydi: sirni mahalliy saqlang

Bir xil profil, ikki seans: desktopdan ulanadi, SSH orqali esa hech narsa javob bera olmaydigan so'rovda osilib qoladi. Hech narsa buzilmagan va hech qanday sozlama yo'qolmagan. NetworkManager hisob ma'lumotlarini maxfiy agentdan so'ramoqda, maxfiy agent esa siz ishlatayotgan seansda mavjud bo'lmagan desktop komponentidir.

Quyidagi ketma-ketlikni bajaring va tunnel grafik interfeyssiz ko'tariladi, ammo sirni saqlash bu profildan kim foydalanishi mumkinligini o'zgartiradi.

Biror narsani o'zgartirishdan oldin tashxisni tasdiqlang

Interaktiv va interaktiv bo'lmagan faollashtirish o'rtasidagi farq butun tashxisdir. Agar nmcli --ask connection up muvaffaqiyatli bo'lib, oddiy faollashtirish tiqilib qolsa, profil to'g'ri va sirning manbasi yo'q. Shu bitta taqqoslash sizni ishlayotgan konfiguratsiyani qayta yozishdan saqlaydi.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Bayroqlarni taxmin qilmasdan o'qing. "Agentdan so'ra" degan ma'noni beradigan qiymatlar siz izlayotgan narsadir, kalit nomlari esa VPN plaginlari orasida farq qiladi, chunki ular plaginning o'z ma'lumot lug'atida yashaydi. FortiSSL profili va IPsec profili bir xil nomlardan foydalanishi shart emas, shuning uchun o'z profilingiz chiqishidan ishlang.

Shuningdek, o'sha protokol uchun plagin paketi o'rnatilganligini tasdiqlang. Yo'q plagin noma'lum ulanish turi yoki parollar haqida hech narsa aytmaydigan faollashtirish xatosi sifatida ko'rinadi, va bu holatda sirning ketidan quvish o'sha soatni ikki marta behuda o'tkazadi. Bitta paket so'rovi kalit fayllarini tahrirlash bilan o'tadigan butun tushdan arzon.

Sirni kalit fayliga ko'chiring

Ulanish fayli /etc/NetworkManager/system-connections/ ostida joylashgan. Sirlar u yerda sukut bo'yicha saqlanmaydi, va siz hozir o'qigan bayroqlarning ma'nosi shu. Bayroqni nolga o'zgartirish NetworkManagerga qiymat profil bilan birga saqlanganini, faollashtirish vaqtida so'ralmasligini aytadi.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Ikki siri bor profil uchun namuna takrorlanadi: [vpn] bo'limida har bir sir uchun bitta bayroq, qiymatlar esa [vpn-secrets] ichida. IPsec profili odatda foydalanuvchi hisob ma'lumotlari yonida oldindan ulashilgan kalitni olib yuradi, va plagin ularni oddiy parol maydonidan boshqacha nomlaydi, shuning uchun kalit nomlarini vpn.data chiqishidan ko'chiring, boshqa plagin ishlatgan blog yozuvidan emas. Bitta noto'g'ri kalit nomi yuklanadigan va keyin autentifikatsiyada muvaffaqiyatsiz bo'ladigan profil yaratadi, bu esa aynan noto'g'ri parol kabi o'qiladi. Qayta ulanishdan oldin faylingizni o'sha plaginning ishlayotgan profili bilan solishtiring.

Bo'sh joy, qo'shtirnoq yoki dollar belgisi bo'lgan qiymatlarni qo'shtirnoqqa oling. Ichida $ bo'lgan qo'shtirnoqsiz qiymat qayerda tahlil qilinishiga qarab so'zma-so'z o'qiladi yoki kengaytiriladi, va natijada yuzaga keladigan autentifikatsiya xatosi noto'g'ri parolga o'xshaydi.

Keyin faylning egaligi va rejimini tuzating. Bu kalit fayllarini imtiyozli xizmat o'qiydi, va boshqa foydalanuvchilar o'qiy oladigan fayl ishonchsiz deb hisoblanadi, bu tahrirlangan profilning e'tiborsiz qolgan ko'rinishining odatiy sababidir. Egasi root, rejim 600, istisnolar yo'q.

Qayta yuklang, keyin faollashtiring

Fayl ulanish yuklanganda o'qiladi, shuning uchun uni tahrirlashning o'zi yetarli emas. Profillarni qayta yuklang va keyin ulanishni aniq ko'taring.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Agar qayta yuklash o'zgarishni qabul qilmasa, xizmatni to'liq qayta ishga tushirish qabul qiladi, va aynan shu haqda hisobotlar bor. Boshqa ulanishlar muhim bo'lganda qayta yuklashni afzal ko'ring, chunki xizmatni qayta ishga tushirish har bir boshqariladigan ulanishni uzadi, va masofaviy xostda bu siz xohlagan tunnel ko'tarilishidan oldin seansingizni tugatishi mumkin.

Nomlar noaniq bo'lsa UUID ishlating. Bir nechta mijoz profili bo'lgan mashinalarda deyarli-nusxalar to'planadi, va noto'g'risini faollashtirish hisob ma'lumotlari muammosiga o'xshaydigan nosozlik keltiradi.

Saqlangan sir muammo bo'lmaganda

FortiSSL profili to'g'ri saqlangan hisob ma'lumotlari bilan ham muvaffaqiyatsiz bo'lishi mumkin, chunki mijoz shlyuz sertifikatiga hech qachon ishonmaydi. Bu sozlama asosiy muloqot oynasida emas; u VPN ning kengaytirilgan parametrlar orqasida, u yerda ishonchli sertifikatning dayjesti kiritiladi. Agar jurnal parol o'rniga sertifikatni eslatsa, siz shu shoxdasiz va [vpn-secrets] ni tahrirlashning hech qanday miqdori yordam bermaydi.

Bu yerga yana ikkita tekshiruv kiradi. Profil plagin o'qiy olmaydigan yo'lga hali ham ishora qiladigan fayldan import qilinmaganligini tasdiqlang, va profil eskirgan nusxa emas, faol ekanligini tasdiqlang. Ikkalasi ham autentifikatsiya xatosi kabi o'qiladigan faollashtirish nosozliklarini keltiradi.

Saqlash maqbulmi-yo'qmi, hal qiling

Saqlangan PSK va parolni o'sha mashinada root sifatida ishlaydigan har qanday narsa o'qiy oladi. Siz nazorat qiladigan mashinada bu grafik interfeyssiz xizmat uchun o'rinli almashinuv. Umumiy xostda bu suhbatga arziydi, chunki profilda endi ilgari desktop kalit halqasi bilan himoyalangan hisob ma'lumotlari bor. Qaror qabul qilishdan oldin o'sha xostda rootga yana kim yetib borishi mumkinligini so'rang, o'zgartirish amalga oshirilgandan keyin emas.

Agar siyosat saqlangan VPN sirlarini taqiqlasa, cron vazifasi ishlashi uchun profilni zaiflashtirmang. Ulanishni agenti bor seansdan ishga tushiring yoki avtomatlashtirish uchun boshqa mexanizmdan foydalaning.

Nihoyat, qaysi profillarda sir borligini yozib qo'ying, shunda hech kim sezmay turib birini noutbukka ko'chirmaydi. Sirlar bo'limi ustida sana va sabab ko'rsatilgan izoh yetarli, va u keyinchalik kimnidir noqulay ko'rikdan qutqaradi.