Kie Linux uzu vian VPN-pasvorton? Ne en la profilo
La sekretaj flagoj de NetworkManager decidas ĉu la profilo, ŝlosilringa agento aŭ neniu tenas la pasvorton. La respondo dependas de kiam la konekto komenciĝas.
La VPN-pasvorto devas loĝi ie: en la konekta profilo, en ŝlosilringo kiun la labortablo malŝlosas, aŭ nenie. NetworkManager nomas tiun elekton sekreta flago, kaj elekti la malĝustan estas kial konekto funkcias post ensaluto kaj malsukcesas kiel servo. La flago estas unu linio de agordo, kaj ĝi decidas kiun el tiuj tri rezultoj vi ricevos.
Tri flagoj kovras preskaŭ ĉiun kazon, kaj la decido temas pri kiam la konekto komenciĝas.
Tri sekretaj flagoj, tri kondutoj
Flago 0 signifas, ke la sekreto estas konservita kun la konekto, en kiu ajn stokejo tenas la profilon. Flago 1 igas ĝin agenta: la sekreto venas de sekreta agento kiel labortabla ŝlosilringo, kaj NetworkManager petas ĝin ĉe aktivigo. Flago 2 signifas ne konservita, do la sekreto neniam estas skribita kaj devas esti donita ĉiufoje. Flago 4 markas sekreton kiel ne bezonatan, por konektoj kiuj vere bezonas neniun.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
Agordu la flagojn por ĉiu sekreto anstataŭ por la konekto. Unu konekto povas havi agentan pasvorton kaj konservitan pasfrazon de privata ŝlosilo.
Decidu laŭ kiam la konekto komenciĝas
Se ensalutinta uzanto komencas la konekton, agenta posedo estas la prudenta defaŭlto: la ŝlosilringo estas malŝlosita per la ensaluto kaj la sekreto neniam sidas en dosiero. Se la konekto devas ekfunkcii antaŭ ol iu ensalutas, agenta posedo estas la malĝusta elekto, ĉar ne estas sesia ŝlosilringo malŝlosebla.
Tio estas la tuta decido. Ĉio alia estas variaĵo de ĝi.
Por servo antaŭ ensaluto, la subtenata ŝablono estas sistemnivela stokejo aŭ protektita ŝlosildosiero, kaj dosieraj permesoj fariĝas la protekto. Ne solvu la problemon algluante la pasvorton en ŝelan skripton kiu ruliĝas ĉeŝtarte.
Kion la ŝlosilringo donas kaj kion ne
Ŝlosilringo tenas la sekreton ekster la konekta profilo kaj ligas ĝin al uzanta sesio. Ĝi ne igas la sekreton disponebla al servo sen sesio, kaj ĝi ne ĉifras ion ajn en la reto. Tiuj estas apartaj ecoj kiujn homoj ofte kunfandas. Kion ĝi vere aĉetas estas pli malgranda difuzoradiuso kiam profil-dosiero likas.
La privata ŝlosilo referencita de la profilo bezonas proprajn permesojn, sendepende de kie loĝas la pasvorto.
Diagnozo sen elverŝi sekretojn
Konektaj nomoj, UUID-oj kaj flagoj kutime sufiĉas por klarigi malsukceson. nmcli connection show listigas la profilon, kaj la sekretaj flagoj diras al vi de kie la pasvorto devintus veni.
Evitu --show-secrets en biletoj kaj babilejo. Post kiam ĝi estas algluita, ĝi estas legitimilo en transskribo.
Stokado ne estas revokado
Forigi sekreton el unu ŝlosilringo ne nuligas la legitimilon kiun la fora operatoro jam akceptis. Konta revokado estas agado ĉe la servila flanko, kaj loka stokado estas aparta afero kun aparta posedanto.
Decidu ambaŭ antaŭ la okazaĵo, ne dum ĝi. Interaga uzanta konekto kaj servo antaŭ ensaluto bezonas malsamajn respondojn, kaj komuna ŝela skripto estas nek unu nek la alia. La dokumentaro de NetworkManager pri sekretaj flagoj listigas la valorojn plene.