Ble dylai Linux storio eich cyfrinair VPN? Nid yn y proffil
Mae baneri cyfrinach NetworkManager yn penderfynu a yw'r proffil, asiant cylch allweddi neu neb yn dal y cyfrinair. Mae'r ateb yn dibynnu ar ba bryd y mae'r cysylltiad yn dechrau.
Rhaid i gyfrinair VPN fyw yn rhywle: yn y proffil cysylltiad, mewn cylch allweddi y mae'r bwrdd gwaith yn ei ddatgloi, neu yn unman o gwbl. Mae NetworkManager yn galw'r dewis hwnnw yn faner gyfrinach, a dewis yr un anghywir yw'r rheswm y mae cysylltiad yn gweithio ar ôl mewngofnodi ac yn methu fel gwasanaeth. Mae'r faner yn un llinell o ffurfweddiad, ac mae'n penderfynu pa un o'r tri chanlyniad hynny a gewch.
Mae tair baner yn cwmpasu bron pob achos, ac mae'r penderfyniad yn ymwneud â pha bryd y mae'r cysylltiad yn dechrau.
Tair baner gyfrinach, tri ymddygiad
Mae baner 0 yn golygu bod y gyfrinach yn cael ei chadw gyda'r cysylltiad, ym mha bynnag storfa sy'n dal y proffil. Mae baner 1 yn ei gwneud yn eiddo asiant: daw'r gyfrinach o asiant cyfrinach megis cylch allweddi bwrdd gwaith, ac mae NetworkManager yn gofyn amdani wrth actifadu. Mae baner 2 yn golygu heb ei chadw, felly ni ysgrifennir y gyfrinach byth a rhaid ei chyflwyno bob tro. Mae baner 4 yn nodi cyfrinach fel un nad oes ei hangen, ar gyfer cysylltiadau nad oes gwir angen yr un ohonynt.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
Gosodwch y baneri fesul cyfrinach yn hytrach na fesul cysylltiad. Gall un cysylltiad fod â chyfrinair sy'n eiddo i asiant a chyfrinrawddeg allwedd breifat wedi'i chadw.
Penderfynwch yn ôl pa bryd y mae'r cysylltiad yn dechrau
Os bydd defnyddiwr sydd wedi mewngofnodi yn cychwyn y cysylltiad, eiddo asiant yw'r rhagosodiad synhwyrol: mae'r cylch allweddi yn cael ei ddatgloi gan y mewngofnodi ac nid yw'r gyfrinach byth yn eistedd mewn ffeil. Os rhaid i'r cysylltiad godi cyn i unrhyw un mewngofnodi, eiddo asiant yw'r dewis anghywir, oherwydd nid oes cylch allweddi sesiwn i'w ddatgloi.
Dyna'r penderfyniad cyfan. Mae popeth arall yn amrywiolyn ohono.
Ar gyfer gwasanaeth cyn mewngofnodi, storfa ar lefel system neu ffeil allwedd warchodedig yw'r patrwm a gefnogir, a chaniatadau ffeil sy'n dod yn amddiffyniad. Peidiwch â datrys y broblem drwy ludo'r cyfrinair i sgript shell sy'n rhedeg wrth gychwyn.
Yr hyn y mae'r cylch allweddi yn ei roi a'r hyn nad yw
Mae cylch allweddi yn cadw'r gyfrinach allan o'r proffil cysylltiad ac yn ei chlymu i sesiwn defnyddiwr. Nid yw'n gwneud y gyfrinach ar gael i wasanaeth heb sesiwn, ac nid yw'n amgryptio unrhyw beth ar y wifren. Mae'r rhain yn briodweddau ar wahân y mae pobl yn aml yn eu huno. Yr hyn y mae'n ei brynu yw radiws difrod llai pan fydd ffeil proffil yn gollwng.
Mae'r allwedd breifat y mae'r proffil yn cyfeirio ati yn angen caniatadau ei hun, waeth ble mae'r cyfrinair yn byw.
Diagnosteg heb ollwng cyfrinachau
Mae enwau cysylltiad, UUIDau a baneri fel arfer yn ddigon i esbonio methiant. nmcli connection show yn rhestru'r proffil, ac mae'r baneri cyfrinach yn dweud wrthych o ble y dylai'r cyfrinair fod wedi dod.
Osgoewch --show-secrets mewn tocynnau a sgwrs. Unwaith y caiff ei ludo, mae'n gredydyn mewn trawsgrifiad.
Nid yw storio yn ddirymu
Nid yw tynnu cyfrinach o un cylch allweddi yn annilysu'r credydyn y mae'r gweithredydd o bell eisoes wedi'i dderbyn. Mae dirymu cyfrif yn weithred ar ochr y gweinydd, ac mae storio lleol yn fater ar wahân gyda pherchennog ar wahân.
Penderfynwch y ddau cyn y digwyddiad, nid yn ystod. Mae cysylltiad defnyddiwr rhyngweithiol a gwasanaeth cyn mewngofnodi angen atebion gwahanol, ac nid sgript shell a rennir yw'r naill na'r llall. Dogfennaeth NetworkManager ar faneri cyfrinach yn rhestru'r gwerthoedd yn llawn.