Atal NetworkManager rhag dangos cyfrinair VPN sydd wedi’i gadw

Gall NetworkManager ddal cyfrinair VPN fel bod y cysylltiad yn codi heb i unrhyw un ei deipio, a gall ddangos y gwerth hwnnw’n ôl drwy’r golygydd neu drwy nmcli --show-secrets. Mae tri model perchnogaeth ar gael, a’r ymddygiad arddangos yw dim ond symptom o ba un a ddewisoch. Dewiswch y model yn gyntaf, yna gosodwch y faner sy’n cyd-fynd ag ef, yn hytrach na chuddio maes gyda deiliad lle a fydd yn drysu’r person nesaf.

Tri model perchnogaeth

Mae’r model cyntaf yn gofyn bob tro. Ni chedwir unrhyw beth, mae’r gyfrinach yn bodoli dim ond am gyfnod yr actifadu, a rhaid i unrhyw un sy’n cychwyn y cysylltiad wybod y cyfrinair. Dyma’r opsiwn lleiaf cyfleus a’r un hawsaf i’w amddiffyn.

Mae’r ail yn rhoi’r gyfrinach i gylch allweddi sy’n eiddo i’r defnyddiwr. Mae’r asiant yn datgloi pan fydd y sesiwn yn cychwyn ac yn cyflenwi’r gwerth ar gais, sy’n ei gadw allan o ffeil y cysylltiad ond yn clymu’r cysylltiad i sesiwn y defnyddiwr hwnnw. Mae dau amod yn dilyn: rhaid i’r asiant fod yn rhedeg, a rhaid iddo fod wedi’i ddatgloi.

Mae’r trydydd yn storio cymhwyster gwarchodedig ar gyfer cysylltiad system. Mae’n goroesi ailgychwyn ac yn gweithio cyn i unrhyw un fewngofnodi, ac yn gyfnewid am hynny mae’r gwerth yn eistedd ar ddisg wedi’i warchod gan ganiatadau ffeil yn hytrach nag amgryptio.

Mae pob model yn rhesymol yn y cyd-destun iawn. Y camgymeriad yw eu cymysgu, a dyna sut mae gliniadur yn gorffen â chyfrinach mewn dau le a heb ateb clir ynghylch pa un sy’n oruchaf. Nodwch pa fodel y mae proffil yn ei ddefnyddio. Mae un llinell yn llyfr rhedeg y tîm yn arbed y person nesaf rhag dyfeisio pedwerydd lle i chwilio.

Darllenwch y cyflwr cyfredol cyn ei newid

Edrychwch ar y proffil ac ar gyflwr y gyfrinach fel y defnyddiwr sy’n rheoli’r cysylltiad. Yr ail orchymyn yw’r un sy’n dweud wrthych a yw’r gwerth yn ddarllenadwy mewn gwirionedd.

nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnection

Mae ffeil allwedd yn y cyfeiriadur hwnnw fel arfer yn eiddo i root gyda modd 600. Mae hynny’n cadw defnyddwyr cyffredin allan, ac nid yw’n cadw root allan, sy’n bwysig pan fo’r un peiriant yn cael ei rannu neu pan fo copi wrth gefn yn rhedeg fel root.

Mae caniatadau ffeil yn ffin, nid yn amgryptio. Mae gan unrhyw un sy’n gallu darllen y ffeil fel root y cyfrinair mewn testun clir. Mae hynny’n fasnach dderbyniol ar gyfer gweinydd heb oruchwyliaeth ac yn wael ar gyfer gorsaf waith a rennir. Mae ei ysgrifennu unwaith yn atal dadl hir ynghylch a yw’r gwerth wedi’i warchod.

Beth mae pob gwerth baner yn ei wneud

Mae cyfrinach VPN yn cario priodwedd flags, ac nid yw’r gwerthoedd yn amlwg o’r rhifau yn unig.

Mae’r ymddygiad effeithiol hefyd yn dibynnu ar yr ategyn ac ar a oes asiant yn rhedeg, felly triniwch y tabl fel y contract a’r ymddygiad a arsylwir fel y peth rydych yn ei wirio. Gall gwerth sy’n gweithio ar un biwrdd waith ymddwyn yn wahanol ar weinydd heb sesiwn. Yn y bwlch hwnnw y mae’r rhan fwyaf o’r tocynnau dryslyd yn byw.

Gosodwch y briodwedd yn benodol yn hytrach na dileu llinell a gobeithio. Nid yw baner absennol yn bolisi, ac efallai y bydd y diweddariad pecyn nesaf yn ei llenwi â rhywbeth nad oeddech yn ei fwriadu.

Cydweddwch y model â phryd mae’r cysylltiad yn cychwyn

Os nad yw’r cysylltiad byth yn cychwyn ond tra bo defnyddiwr wedi mewngofnodi, mae perchnogaeth asiant yn ffit dda ac yn cadw’r gyfrinach allan o’r ffeil. Os yw’n cychwyn ar gychwyn y system, cyn bod unrhyw sesiwn, ni all asiant eich helpu.

Dyna’r penderfyniad cyfan ar gyfer y rhan fwyaf o beiriannau. Mae hefyd yn esbonio dosbarth o adroddiadau dryslyd lle mae’r cysylltiad yn gweithio’n ryngweithiol ac yn methu ar ôl ailgychwyn. Ni newidiodd y faner erioed; newidiodd y cyd-destun.

Ar gyfer yr achos heb oruchwyliaeth, ffeil gyfyngedig sy’n eiddo i root neu ffynhonnell gymhwyster gymeradwy yw’r ateb ymarferol. Cadwch hi allan o broffil y cysylltiad os bydd y proffil hwnnw byth yn cael ei allforio neu ei gopïo i beiriant arall.

Os oedd y gwerth eisoes yn weladwy, newidiwch ef

Nid yw newid baner yn cyffwrdd â’r cyfrinair ei hun. Dylid ystyried bod gwerth a ymddangosodd mewn sgrinlun, yn hanes y plisgyn, mewn bwndel a anfonwyd at y tîm cymorth, neu mewn ffeil y gallai defnyddwyr eraill ei hagor wedi’i ddatgelu.

Newidiwch ef ar y gweinydd, yna trwsiwch y cleient a therfynwch unrhyw sesiwn a ddilyswyd â’r hen un. Nid yw dileu’r cysylltiad lleol yn dirymu dim ar yr ochr arall, a dyna’r rhan mae pobl yn ei cholli.

Yna stopiwch roi’r cyfrinair ar y llinell orchymyn. Mae’n glanio yn hanes y plisgyn a gall ymddangos mewn rhestr prosesau; defnyddiwch yr anogwr rhyngweithiol neu’r asiant yn lle hynny.

Gwiriwch drwy ailgysylltu

Ailadroddwch y gorchymyn a ddangosodd y gyfrinach a chadarnhewch nad yw’r maes yn cael ei argraffu mwyach. Yna datgysylltwch ac ailgysylltwch, ac ailgychwynnwch os yw’r cysylltiad yn cychwyn yn awtomatig, oherwydd dim ond pan fydd cyd-destun y sesiwn yn newid y mae’r methiant diddorol yn ymddangos.

Os yw’r gyfrinach yn dal i ymddangos, mae proffil arall neu asiant arall yn ei chyflenwi. Archwiliwch y cysylltiad gweithredol a’r cylch allweddi yn lle dileu ffeiliau nes bod y symptom yn symud.