Per què un servei VPN iniciat en arrencar no pot llegir el vostre anell de claus
Una VPN en temps d'arrencada no té cap agent de secrets desbloquejat del qual manllevar. Llegiu les marques de secret de la connexió abans de restablir una contrasenya que el servidor mai no va rebutjar.
Una connexió que funciona després d'iniciar sessió i falla abans normalment vol dir que l'intent d'arrencada no va poder obtenir un secret, no que el servidor l'hagi rebutjat. La credencial existeix; el context que la demana no. Aquesta única distinció estalvia un restabliment de contrasenya innecessari.
Seguiu la petició: alguna cosa inicia la connexió abans que existeixi una sessió d'escriptori, i el magatzem de secrets que normalment respon encara no s'ha desbloquejat. Els dos contextos no es posen d'acord sobre qui posseeix el secret, i el perfil enregistra quin d'ells ha de proporcionar-lo.
Què demana realment el camí d'arrencada
En arrencar, NetworkManager s'inicia com a servei de sistema sense sessió d'usuari, sense D-Bus de sessió i sense anell de claus desbloquejat. Un perfil de connexió encara es pot aixecar, però només amb secrets que el servei pugui abastar per si mateix. Qualsevol cosa propietat d'un agent de secrets s'espera fins que una persona inicia sessió i l'agent apareix. El servei fa exactament el que diu la seva configuració; el perfil és el que ha de canviar.
La fallada està escrita dins de la connexió, no amagada en un anell de claus.
Llegir les marques de secret d'una connexió
Pregunteu a la connexió què espera, no què recorda l'escriptori. La columna de marques respon la pregunta directament i sobreviu als reinicis al fitxer de perfil del disc.
Comenceu amb la llista de perfils i confirmeu quina connexió està configurada per aixecar-se sola. Després aboqueu una connexió i llegiu les marques de contrasenya:
nmcli -f NAME,UUID,TYPE,AUTOCONNECT connection show nmcli connection show "Work VPN" | grep -i -E "password|secret|key" journalctl -b -u NetworkManager --grep "secret"
La primera ordre confirma quins perfils existeixen i si un està configurat per connectar-se automàticament, que és com s'inicia un intent sense supervisió. La segona exposa els valors de les marques, i la tercera mostra el servei queixant-se que cap agent va respondre per a un secret determinat. Una línia de registre que anomena un secret com a propietat d'un agent és tot el diagnòstic en una frase.
| Flag value | Where the secret lives | Behaviour before login |
|---|---|---|
| 0 | Stored in the connection profile | Available to the system service |
| 1 | Owned by a secret agent | Blocks until the agent is unlocked |
| 2 | Never stored | Prompts on every activation |
| 4 | Not required | Never requested at all |
Per què moure la connexió a l'àmbit de sistema canvia la resposta
Una connexió propietat d'un usuari s'activa sota l'agent d'aquell usuari, i per això funciona perfectament un cop l'escriptori està en marxa. Moure-la a l'àmbit de sistema treu l'agent del camí, de manera que el mateix perfil es comporta diferent sense canviar ni una línia de configuració de la VPN.
Aquest moviment és un disseny legítim i comporta un requisit: el secret ha de ser abastable pel servei de sistema. Desar-lo al perfil, proporcionar-lo mitjançant una credencial d'àmbit de sistema o acceptar una petició interactiva en el moment adequat són totes respostes vàlides. Deixar la marca 1 i esperar, no.
Una clau privada amb la seva pròpia contrasenya afegeix una segona capa. Fins i tot una contrasenya de compte desada no desbloquejarà una clau que vol una contrasenya, així que verifiqueu quin secret demana realment l'etapa que falla abans de canviar res.
Què no cal fer i què cal fer en el seu lloc
Fer que cada fitxer de credencials sigui llegible per tothom, o desactivar l'autenticació perquè no calgui cap petició, intercanvia una incomoditat d'arrencada per una exposició permanent. Tots dos també amaguen la dependència en lloc de resoldre-la, i la propera actualització de la imatge reintrodueix la mateixa fallada.
Feu servir el mecanisme que la vostra distribució documenta per a l'activació sense supervisió en aquesta etapa, i després confirmeu que les marques del perfil hi coincideixen. Comproveu el resultat des d'una arrencada neta, no des d'un intèrpret que ja té un agent. Anoteu el propietari de la connexió, la font del secret i l'etapa que ha de funcionar, perquè un canvi posterior d'inici automàtic no pugui reintroduir en silenci una dependència que algú desbloquegi primer un escriptori. La documentació és la diferència entre un servei arreglat i un que torna a trencar-se el proper trimestre.
Proveu des d'una arrencada neta controlada, no des d'un reintent manual després d'iniciar sessió. El reintent té èxit pel motiu pel qual va fallar l'intent d'arrencada, i això és exactament l'evidència que una prova ràpida destrueix.