[Gelöst] (via XRDP) nm-tray (network-manager): Not authorized to control networking

[buhtz]

Ich habe Debian bullsey auf einem Raspberry Pi 4 mit dem minimal Image von https://raspi.debian.net installiert. "Minimal" bedeutet, kein X, kein user, nur root und ne shell. Ich habe xrdp, xfce und network-manager nachinstalliert.
Ich greife normalerweise per XRDP oder SSH auf das Gerät zu. Das hier beschriebene Verhalten bezieht sich auf eine XRDP Session.

Den user habe ich also selbst angelegt, ohne dass dieser irgendwelche defaults vom Debian installer mitbekommt, wie bei einer "normalen" Debian Installation. Ich vermute, dass daher mein Problem mit dem network-manager (und noch ein paar mehr) herrühren.

Problem (via XRDP):
Der Networkmanager (bzw. nm-tray im XFCE)

• zeigt mir nicht immer, nur machnmal, die verfügbaren WLAN's an
• bei Auswahl einer SSID erhalte ich die Meldung Not authorized to control networking
• disabled die Einträge zum deaktivieren von "Netzwerk" und "Funktnetzwerk"
• Lässt mich keine "eduroam" (WPA-Enterprise, mit PEAP und Zertifikat) als verborgene Verbindung anlegen.

Mein aktueller Workaround ist es, mich entweder lokal am Pi per Monitor, Tastatur und Maus anzumelden oder einfach `sudo nmtui` zu machen.

EDIT: Es gibt diesbezüglich wohl auch bug reports, aus denen ich aber nicht schlau werde. Es geht irgendwie um systemd und polkit, wovon ich praktisch keine Ahnung habe.
Keine WLAN's


Menüeinträge disabled


Einrichtung eines verborgenen Netzwerkes speichern


Details:
An der Gruppenzugehörigkeit des "users" hab ich schon gebastelt.

Code: Alles auswählen

$ groups
user cdrom floppy sudo dip video plugdev users netdev scanner

In einer Anleitung (wo es darum ging, dass man nm-tray nicht per XRDP nutzen kann) hatte ich auch das hier gefunden und eingerichtet. Sollte ich das evtl. lieber wieder entfernen?

Code: Alles auswählen

# cd /etc/polkit-1/localauthority/50-local.d
root@quark:/etc/polkit-1/localauthority/50-local.d# ls -la
insgesamt 20
drwxr-xr-x 2 root root 4096  3. Okt 16:26 .
drwx------ 7 root root 4096  2. Okt 09:52 ..
-rw-r--r-- 1 root root  206  3. Okt 16:25 50-allow-network-manager.pkla
-rw-r--r-- 1 root root  200  3. Okt 16:26 51-allow-wifi-scan.pkla
-rw-r--r-- 1 root root  202  3. Okt 2021  52-allow-color-manager-create-device.pkla

root@quark:/etc/polkit-1/localauthority/50-local.d# cat *
[Network Manager all Users]
Identity=unix-user:*
Action=org.freedesktop.NetworkManager.settings.modify.system;org.freedesktop.NetworkManager.network-control
ResultAny=no
ResultInactive=no
ResultActive=yes

[Network Manager all Users]
Identity=unix-user:*
Action=org.freedesktop.NetworkManager.settings.modify.system;org.freedesktop.NetworkManager.wifi.scan
ResultAny=no
ResultInactive=no
ResultActive=yes

[Network Manager all Users]
Identity=unix-user:*
Action=org.freedesktop.color-manager.settings.modify.system;org.freedesktop.color-manager.create-device
ResultAny=no
ResultInactive=no
ResultActive=yes

Wie gesagt, wenn ich mich lokal auf dem Pi anmelde (also nicht mit XRDP) geht das alles.

[buhtz]

Ich bin wirklich verzweifelt. Das Problem besteht nach wie vor.

Ich kann mer XRDP den NetworkManager im Systray von XFCE nicht bedienen. Er ist da, aber erlaubt mir nichts.
Immer wenn ich eine neue WLAN-Verbindung einrichten möchte, oder ähnliches, muss ich das entweder per nmtui tun, oder gleich Monitor und Tastatur dranhängen und mich lokal anmelden. In einer lokalen/normalen/regulären (wie würde man das nennen?) XFCE Session kann ich den NM bedienen.

[JTH]

In einer Anleitung (wo es darum ging, dass man nm-tray nicht per XRDP nutzen kann) hatte ich auch das hier gefunden und eingerichtet.

In der Anleitung geht es um XDMCP, nicht um Xrdp. Ich bin mit beiden nicht vertraut, aber mit Wissen über PolicyKit und bezogen auf die in der Anleitung vorgeschlagenen Einstellungen macht das unterschiedliche Protokoll einen kleinen, aber feinen relevanten Unterschied.

Sollte ich das evtl. lieber wieder entfernen?

Code: Alles auswählen

# cd /etc/polkit-1/localauthority/50-local.d
root@quark:/etc/polkit-1/localauthority/50-local.d# ls -la

Ja. Du verbietest mit den ganzen Optionen, konkret den ResultAny=no und ResultInactive=no, gerade explizit einem von Remote angemeldeten Benutzer die ganzen Handlungen, die du eigentlich machen möchtest. Genau das Gegenteil von dem, was du willst. Ein

Code: Alles auswählen

ResultAny=auth_admin
ResultInactive=auth_admin

stattdessen sollte dir, denke ich, weiterhelfen. Oder alternativ direkt mit einem yes am Ende.