Waarom 'n VPN-diens wat by die opstart begin, jou sleutelring nie kan lees nie
'n VPN wat by die opstart begin, het geen ontsperde geheime-agent om by te leen nie. Lees die verbinding se geheimevlae voordat jy 'n wagwoord herstel wat die bediener nooit verwerp het nie.
'n Verbinding wat ná aanmelding werk en voor dit misluk, beteken gewoonlik dat die opstartpoging nie 'n geheim kon bekom nie, nie dat die bediener een verwerp het nie. Die geloofsbrief bestaan; die konteks wat daarvoor vra, bestaan nie. Daardie enkele onderskeid spaar 'n onnodige wagwoordherstel.
Volg die versoek: iets begin die verbinding voordat 'n lessenaarsessie bestaan, en die geheimebergplek wat normaalweg antwoord, is nog nie ontsper nie. Die twee kontekste stem nie saam oor wie die geheim besit nie, en die profiel teken aan watter een dit verwag om dit te voorsien.
Waarvoor die opstartpad eintlik vra
By die opstart begin NetworkManager as 'n stelseldiens sonder 'n gebruikersessie, sonder 'n sessie-D-Bus en sonder 'n ontsperde sleutelring. 'n Verbindingsprofiel kan steeds opgerig word, maar slegs met geheime wat die diens op sy eie kan bereik. Enigiets wat deur 'n geheime-agent besit word, bly hang totdat 'n mens aanmeld en die agent verskyn. Die diens doen presies wat sy konfigurasie sê; die profiel is die ding wat moet verander.
Die fout is in die verbinding geskryf eerder as in 'n sleutelring weggesteek.
Die geheimevlae op 'n verbinding lees
Vra die verbinding wat dit verwag, nie wat die lessenaar onthou nie. Die vlae-kolom beantwoord die vraag regstreeks, en dit oorleef herbegin in die profiellêer op skyf.
Begin met die profielys en bevestig dan watter verbinding gestel is om vanself op te kom. Gooi dan een verbinding uit en lees die wagwoordvlae:
nmcli -f NAME,UUID,TYPE,AUTOCONNECT connection show nmcli connection show "Work VPN" | grep -i -E "password|secret|key" journalctl -b -u NetworkManager --grep "secret"
Die eerste opdrag bevestig watter profiele bestaan en of een op outo-verbinding gestel is, wat is hoe 'n onbewaakte poging in die eerste plek begin word. Die tweede openbaar die vlagwaardes, en die derde wys hoe die diens kla dat geen agent vir 'n gegewe geheim geantwoord het nie. 'n Logreël wat 'n geheim as agent-besit noem, is die hele diagnose in een sin.
| Flag value | Where the secret lives | Behaviour before login |
|---|---|---|
| 0 | Stored in the connection profile | Available to the system service |
| 1 | Owned by a secret agent | Blocks until the agent is unlocked |
| 2 | Never stored | Prompts on every activation |
| 4 | Not required | Never requested at all |
Waarom die skuif na stelselomvang die antwoord verander
'n Verbinding wat deur 'n gebruiker besit word, word onder daardie gebruiker se agent geaktiveer, en daarom werk dit perfek sodra die lessenaar op is. Om dit na stelselomvang te skuif, verwyder die agent uit die pad, so dieselfde profiel gedra hom anders sonder dat 'n enkele reël VPN-konfigurasie verander.
Daardie skuif is 'n wettige ontwerp, en dit bring 'n vereiste mee: die geheim moet deur die stelseldiens bereikbaar wees. Om dit in die profiel te stoor, dit deur 'n stelselomvang-geloofsbrief te voorsien, of om 'n interaktiewe opdrag op die regte oomblik te aanvaar, is almal geldige antwoorde. Om vlag 1 te laat staan en te hoop, is nie.
'n Privaat sleutel met sy eie wagfrase voeg 'n tweede laag by. Selfs 'n gestoorde rekeningwagwoord sal nie 'n sleutel ontsluit wat 'n wagfrase wil hê nie, so verifieer watter geheim die mislukkende stadium eintlik vra voordat jy iets verander.
Wat nie te doen nie, en wat om eerder te doen
Om elke geloofsbrieflêer wêreldleesbaar te maak, of om verifikasie af te skakel sodat geen opdrag nodig is nie, ruil 'n opstartongerief vir 'n permanente blootstelling. Beide verberg ook die afhanklikheid eerder as om dit op te los, en die volgende beeldopdatering bring dieselfde fout terug.
Gebruik die meganisme wat jou verspreiding vir onbewaakte aktivering dokumenteer op daardie stadium, en bevestig dan dat die profiel se vlae daarby pas. Kontroleer die resultaat vanaf 'n skoon opstart eerder as vanuit 'n dop wat al 'n agent het. Skryf die verbindingseienaar, die geheim se bron en die stadium wat moet werk neer, sodat 'n latere outostart-verandering nie stilweg 'n afhanklikheid van iemand se lessenaarontsluiting kan herinstel nie. Dokumentasie is die verskil tussen 'n reggemaakte diens en een wat volgende kwartaal weer breek.
Toets vanaf 'n beheerde skoon opstart eerder as 'n handmatige herprobeer ná aanmelding. Die herprobeer slaag om die rede waarom die opstartpoging misluk het, en dit is presies die bewys wat 'n vinnige toets vernietig.