Pam na all gwasanaeth VPN sy'n cychwyn wrth gychwyn ddarllen eich cylch allweddi
Nid oes gan VPN wrth gychwyn unrhyw asiant cyfrinachol heb ei gloi i fenthyca ganddo. Darllenwch faneri cyfrinachol y cysylltiad cyn ailosod cyfrinair na wrthododd y gweinydd erioed.
Mae cysylltiad sy'n gweithio ar ôl mewngofnodi ac yn methu o'i flaen fel arfer yn golygu na allai'r ymgais wrth gychwyn gael cyfrinach, nid bod y gweinydd wedi gwrthod un. Mae'r cymhwyster yn bodoli; nid yw'r cyd-destun sy'n gofyn amdano. Mae'r un gwahaniaeth hwnnw'n arbed ailosod cyfrinair diangen.
Dilynwch y cais: mae rhywbeth yn cychwyn y cysylltiad cyn bod sesiwn bwrdd gwaith, ac nid yw'r storfa gyfrinachol sy'n ateb fel arfer wedi'i datgloi eto. Mae'r ddau gyd-destun yn anghytuno ynghylch pwy sy'n berchen ar y gyfrinach, ac mae'r proffil yn cofnodi pa un ohonynt y disgwylir iddo ei darparu.
Beth mae llwybr y cychwyn yn ei ofyn mewn gwirionedd
Wrth gychwyn, mae NetworkManager yn cychwyn fel gwasanaeth system heb sesiwn defnyddiwr, heb D-Bus sesiwn ac heb gylch allweddi wedi'i ddatgloi. Gellir codi proffil cysylltiad o hyd, ond dim ond gyda chyfrinachau y gall y gwasanaeth eu cyrraedd ei hun. Mae unrhyw beth sy'n eiddo i asiant cyfrinachol yn aros nes bod dyn yn mewngofnodi ac yn ymddangos yr asiant. Mae'r gwasanaeth yn gwneud yn union yr hyn y mae ei ffurfweddiad yn ei ddweud; y proffil yw'r peth sydd raid newid.
Mae'r methiant wedi'i ysgrifennu i mewn i'r cysylltiad yn hytrach na'i guddio mewn cylch allweddi.
Darllen baneri cyfrinachol cysylltiad
Gofynnwch i'r cysylltiad beth mae'n ei ddisgwyl, nid beth mae'r bwrdd gwaith yn ei gofio. Mae'r golofn faneri yn ateb y cwestiwn yn uniongyrchol, ac mae'n goroesi ailgychwyn yn y ffeil proffil ar y disg.
Dechreuwch â'r rhestr proffiliau, yna cadarnhewch pa gysylltiad sydd wedi'i osod i godi ohono'i hun. Yna dadlwythwch un cysylltiad a darllenwch y baneri cyfrinair:
nmcli -f NAME,UUID,TYPE,AUTOCONNECT connection show nmcli connection show "Work VPN" | grep -i -E "password|secret|key" journalctl -b -u NetworkManager --grep "secret"
Mae'r gorchymyn cyntaf yn cadarnhau pa broffiliau sy'n bodoli ac a oes un wedi'i osod i gysylltu'n awtomatig, sef sut y dechreuir ymgais heb oruchwyliaeth o gwbl. Mae'r ail yn datgelu gwerthoedd y baneri, a'r trydydd yn dangos y gwasanaeth yn cwyno na atebodd unrhyw asiant am gyfrinach benodol. Llinell log sy'n enwi cyfrinach fel un sy'n eiddo i asiant yw'r holl ddiagnosis mewn un frawddeg.
| Flag value | Where the secret lives | Behaviour before login |
|---|---|---|
| 0 | Stored in the connection profile | Available to the system service |
| 1 | Owned by a secret agent | Blocks until the agent is unlocked |
| 2 | Never stored | Prompts on every activation |
| 4 | Not required | Never requested at all |
Pam mae symud y cysylltiad i gwmpas y system yn newid yr ateb
Mae cysylltiad sy'n eiddo i ddefnyddiwr yn cael ei actifadu o dan asiant y defnyddiwr hwnnw, a dyna pam mae'n gweithio'n berffaith unwaith y bydd y bwrdd gwaith i fyny. Mae ei symud i gwmpas y system yn tynnu'r asiant o'r llwybr, felly mae'r un proffil yn ymddwyn yn wahanol heb newid yr un llinell o ffurfweddiad VPN.
Mae'r symud hwnnw'n ddyluniad dilys, ac mae'n golygu gofyniad: rhaid i'r gyfrinach fod yn gyrraeddadwy i'r gwasanaeth system. Ei storio yn y proffil, ei darparu drwy gymhwyster cwmpas system, neu dderbyn anogwr rhyngweithiol ar yr eiliad iawn i gyd yn atebion dilys. Gadael baner 1 a gobeithio nid yw.
Mae allwedd breifat â'i chyfrinair ei hun yn ychwanegu ail haen. Ni fydd hyd yn oed cyfrinair cyfrif wedi'i storio yn datgloi allwedd sy'n gofyn am gyfrinair, felly gwiriwch pa gyfrinach y mae'r cam sy'n methu yn gofyn amdani mewn gwirionedd cyn newid unrhyw beth.
Beth i beidio â'i wneud, a beth i'w wneud yn lle hynny
Mae gwneud pob ffeil gymhwyster yn ddarllenadwy i bawb, neu analluogi dilysu fel na fydd angen anogwr, yn cyfnewid anghyfleustra cychwyn am amlygiad parhaol. Mae'r ddau hefyd yn cuddio'r dibyniaeth yn hytrach na'i datrys, ac mae'r diweddariad delwedd nesaf yn ailgyflwyno'r un methiant.
Defnyddiwch y mecanwaith y mae eich dosbarthiad yn ei ddogfennu ar gyfer actifadu heb oruchwyliaeth ar y cam hwnnw, yna cadarnhewch fod baneri'r proffil yn cyd-fynd ag ef. Gwiriwch y canlyniad o gychwyn glân yn hytrach nag o gragen sydd eisoes ag asiant. Ysgrifennwch berchennog y cysylltiad, ffynhonnell y gyfrinach a'r cam y mae'n rhaid iddo weithio, fel na all newid cychwyn awtomatig diweddarach ailgyflwyno'n dawel ddibyniaeth ar rywun yn datgloi bwrdd gwaith yn gyntaf. Dogfennaeth yw'r gwahaniaeth rhwng gwasanaeth wedi'i drwsio ac un sy'n torri eto y chwarter nesaf.
Profwch o gychwyn glân wedi'i reoli yn hytrach nag o ailgynnig â llaw ar ôl mewngofnodi. Mae'r ailgynnig yn llwyddo am y rheswm y methodd yr ymgais wrth gychwyn, a dyna'n union yr dystiolaeth y mae prawf cyflym yn ei dinistrio.