Waar moet Linux jou VPN-wagwoord stoor? Nie in die profiel nie
NetworkManager se geheimevlae bepaal of die profiel, 'n sleutelring-agent of niemand die wagwoord hou. Die antwoord hang daarvan af wanneer die verbinding begin.
Die VPN-wagwoord moet êrens woon: in die verbindingsprofiel, in 'n sleutelring wat die lessenaar ontsluit, of glad nie. NetworkManager noem daardie keuse 'n geheimevlag, en om die verkeerde een te kies is hoekom 'n verbinding ná aanmelding werk en as 'n diens misluk. Die vlag is een reël konfigurasie, en dit bepaal watter van daardie drie uitkomste jy kry.
Drie vlae dek byna elke geval, en die besluit gaan oor wanneer die verbinding begin.
Drie geheimevlae, drie gedragspatrone
'n Vlag van 0 beteken die geheim word saam met die verbinding gestoor, in watter stoor ook al die profiel hou. 'n Vlag van 1 maak dit agent-besit: die geheim kom van 'n geheime-agent soos 'n lessenaar-sleutelring, en NetworkManager vra daarvoor by aktivering. 'n Vlag van 2 beteken nie-gestoor, so die geheim word nooit geskryf nie en moet elke keer verskaf word. Vlag 4 merk 'n geheim as nie-vereis, vir verbindings wat werklik niks nodig het nie.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
Stel die vlae per geheim eerder as per verbinding. Een verbinding kan 'n agent-besitte wagwoord en 'n gestoorde privaatsleutel-wagfrase hê.
Besluit volgens wanneer die verbinding begin
As 'n aangemelde gebruiker die verbinding begin, is agent-besit die verstandige verstek: die sleutelring word deur die aanmelding ontsluit en die geheim sit nooit in 'n lêer nie. As die verbinding moet opkom voordat enigiemand aanmeld, is agent-besit die verkeerde keuse, want daar is geen sessie-sleutelring om te ontsluit nie.
Dit is die hele besluit. Alles anders is 'n variant daarvan.
Vir 'n diens voor aanmelding is 'n stelselwye stoor of 'n beskermde sleutellêer die ondersteunde patroon, en lêertoestemmings word die beskerming. Moenie die opdrag oplos deur die wagwoord in 'n dopskrip te plak wat by selflaai loop nie.
Wat die sleutelring gee en wat dit nie gee nie
'n Sleutelring hou die geheim uit die verbindingsprofiel en bind dit aan 'n gebruikersessie. Dit maak die geheim nie beskikbaar vir 'n diens sonder 'n sessie nie, en dit versleutel niks op die draad nie. Dit is aparte eienskappe wat mense dikwels vermeng. Wat dit wel koop, is 'n kleiner skadearea wanneer 'n profiellêer uitlek.
Die privaatsleutel waarna die profiel verwys, het sy eie toestemmings nodig, onafhanklik van waar die wagwoord woon.
Diagnostiek sonder om geheime uit te stort
Verbindingsname, UUID's en vlae is gewoonlik genoeg om 'n faling te verduidelik. nmcli connection show lys die profiel, en die geheimevlae vertel jou waar die wagwoord veronderstel was om vandaan te kom.
Vermy --show-secrets in kaartjies en klets. Sodra dit geplak is, is dit 'n geloofsbrief in 'n transkripsie.
Stoor is nie herroeping nie
Om 'n geheim uit een sleutelring te verwyder, maak nie die geloofsbrief ongeldig wat die afgeleë operateur reeds aanvaar het nie. Rekeningherroeping is 'n bedienerkant-aksie, en plaaslike stoor is 'n aparte saak met 'n aparte eienaar.
Besluit albei voor die voorval, nie tydens dit nie. 'n Interaktiewe gebruikerverbinding en 'n diens voor aanmelding het verskillende antwoorde nodig, en 'n gedeelde dopskrip is nie een van die twee nie. NetworkManager se dokumentasie oor geheimevlae lys die waardes volledig.