Malebligu al NetworkManager montri konservitan VPN-pasvorton

NetworkManager povas teni VPN-pasvorton tiel, ke la konekto leviĝas sen ke iu tajpu ĝin, kaj ĝi povas remontri tiun valoron per la redaktilo aŭ per nmcli --show-secrets. Tri posedmodeloj haveblas, kaj la montra konduto estas nur simptomo de tio, kiun vi elektis. Unue elektu la modelon, poste agordu la flagon, kiu kongruas kun ĝi, anstataŭ kaŝi kampon per anstataŭaĵo, kiu konfuzos la sekvan homon.

Tri posedmodeloj

La unua modelo demandas ĉiufoje. Nenio estas konservata, la sekreto ekzistas nur dum la aktivado, kaj ĉiu, kiu startigas la konekton, devas scii la pasvorton. Ĝi estas la malplej oportuna opcio kaj la plej facile defendebla.

La dua transdonas la sekreton al ŝlosilringo posedata de la uzanto. La agento malŝlosas kiam la seanco komenciĝas kaj liveras la valoron laŭpete, kio tenas ĝin ekster la konekta dosiero sed ligas la konekton al la seanco de tiu uzanto. El tio sekvas du kondiĉoj: la agento devas ruliĝi, kaj ĝi devas esti malŝlosita.

La tria konservas protektitan akreditilon por sistema konekto. Ĝi postvivas restartojn kaj funkcias antaŭ ol iu ensalutas, kaj kontraŭe la valoro kuŝas sur la disko gardata de dosieraj permesoj anstataŭ de ĉifrado.

Ĉiu modelo estas racia en la ĝusta kunteksto. La eraro estas miksi ilin, kaj tiel tekkomputilo finiĝas kun sekreto en du lokoj kaj sen klara respondo, kiu estas la aŭtoritata. Notu, kiun modelon uzas profilo. Unu linio en la teama gvidlibro ŝparas al la sekva homo elpensi kvaran lokon por rigardi.

Legi la nunan staton antaŭ ol ŝanĝi ĝin

Rigardu la profilon kaj la staton de la sekreto kiel la uzanto, kiu administras la konekton. La dua komando estas tiu, kiu diras al vi, ĉu la valoro estas vere legebla.

nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnection

Ŝlosildosiero en tiu dosierujo kutime apartenas al root kun reĝimo 600. Tio tenas ordinarajn uzantojn ekstere kaj ne tenas root ekstere, kio gravas kiam la sama maŝino estas dividata aŭ kiam sekurkopio ruliĝas kiel root.

Dosieraj permesoj estas limo, ne ĉifrado. Ĉiu, kiu povas legi la dosieron kiel root, havas la pasvorton en klarteksto. Tio estas akceptebla interŝanĝo por priservata servilo kaj malbona por dividata laborejo. Skribi ĝin unufoje malhelpas longan diskuton pri tio, ĉu la valoro estas protektita.

Kion faras ĉiu flagvaloro

La VPN-sekreto portas econ flags, kaj la valoroj ne estas intuiciaj nur el la nombroj.

La efektiva konduto ankaŭ dependas de la kromaĵo kaj de tio, ĉu agento ruliĝas, do traktu la tabelon kiel la kontrakton kaj la observatan konduton kiel tion, kion vi kontrolas. Valoro, kiu funkcias sur unu labortablo, povas konduti alie sur servilo sen seanco. En tiu breĉo loĝas la plej multaj konfuzaj biletoj.

Agordu la econ eksplicite anstataŭ forigi linion kaj esperi. Mankanta flago ne estas politiko, kaj la sekva pakaĵa ĝisdatigo povas plenigi ĝin per io, kion vi ne celis.

Kongruigu la modelon kun tio, kiam la konekto komenciĝas

Se la konekto komenciĝas nur dum uzanto estas ensalutinta, agenta posedo bone taŭgas kaj tenas la sekreton ekster la dosiero. Se ĝi komenciĝas ĉe starto, antaŭ ol ekzistas iu seanco, agento ne povas helpi vin.

Tio estas la tuta decido por la plej multaj maŝinoj. Ĝi ankaŭ klarigas klason de konfuzaj raportoj, kie la konekto funkcias interage kaj fiaskas post restarto. La flago neniam ŝanĝiĝis; la kunteksto ŝanĝiĝis.

Por la priservata kazo, limigita root-posedata dosiero aŭ aprobita akreditila fonto estas la praktika respondo. Tenu ĝin ekster la konekta profilo, se tiu profilo iam estas eksportata aŭ kopiata al alia maŝino.

Se la valoro jam estis videbla, ŝanĝu ĝin

Ŝanĝi flagon lasas la pasvorton mem netuŝita. Valoro, kiu aperis en ekrankopio, en la ŝela historio, en pakaĵo sendita al subteno aŭ en dosiero, kiun aliaj uzantoj povis malfermi, devas esti konsiderata malkaŝita.

Ŝanĝu ĝin sur la servilo, poste ripari la klienton kaj fini ĉiun seancon, kiu aŭtentikigis per la malnova. Forigi la lokan konekton revokas nenion aliflanke, kaj tio estas la parto, kiun homoj maltrafas.

Poste ĉesu meti la pasvorton sur la komandlinion. Ĝi falas en la ŝelan historion kaj povas aperi en proceza listo; uzu la interagan inviton aŭ la agenton anstataŭe.

Kontrolu per rekonekto

Ripetu la komandon, kiu montris la sekreton, kaj konfirmu, ke la kampo ne plu estas presata. Poste malkonektu kaj rekonektu, kaj restartu, se la konekto komenciĝas aŭtomate, ĉar la interesa fiasko aperas nur kiam la seanca kunteksto ŝanĝiĝas.

Se la sekreto ankoraŭ montriĝas, alia profilo aŭ alia agento liveras ĝin. Kontrolu la aktivan konekton kaj la ŝlosilringon anstataŭ forigi dosierojn ĝis la simptomo moviĝos.