Kuhu peaks Linux teie VPN-parooli hoidma? Mitte profiili
NetworkManageri saladuslipud otsustavad, kas parooli hoiab profiil, võtmerõnga agent või mitte keegi. Vastus sõltub sellest, millal ühendus käivitub.
VPN-parool peab kuskil elama: ühenduse profiilis, töölaua avatavas võtmerõngas või üldse mitte kuskil. NetworkManager nimetab seda valikut saladuslipuks ja vale valimine on põhjus, miks ühendus töötab pärast sisselogimist, aga teenusena ebaõnnestub. Lipp on üks rida konfiguratsiooni ja otsustab, millise kolmest tulemusest te saate.
Kolm lippu katavad peaaegu kõik juhtumid ja otsus puudutab seda, millal ühendus käivitub.
Kolm saladuslippu, kolm käitumist
Lipp 0 tähendab, et saladus salvestatakse koos ühendusega, ükskõik millises hoiukohas profiil asub. Lipp 1 teeb selle agendi omaks: saladus tuleb saladusagendilt, näiteks töölaua võtmerõngalt, ja NetworkManager küsib seda aktiveerimisel. Lipp 2 tähendab salvestamata, seega saladust ei kirjutata kunagi ja see tuleb iga kord esitada. Lipp 4 märgib saladuse mittevajalikuks ühenduste jaoks, mis tõesti ühtegi ei vaja.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
Määrake lipud saladuse, mitte ühenduse kaupa. Ühel ühendusel võib olla agendi oma parool ja salvestatud privaatvõtme paroolifraas.
Otsustage selle järgi, millal ühendus käivitub
Kui ühenduse käivitab sisselogitud kasutaja, on agendi omand mõistlik vaikevalik: võtmerõngas avatakse sisselogimisega ja saladus ei seisa kunagi failis. Kui ühendus peab üles tulema enne, kui keegi sisse logib, on agendi omand vale valik, sest seansi võtmerõngast, mida avada, ei ole.
See ongi kogu otsus. Kõik muu on selle variant.
Enne sisselogimist töötava teenuse jaoks on toetatud muster süsteemitasemel hoiukoht või kaitstud võtmefail, ja kaitseks saavad failiõigused. Ärge lahendage probleemi parooli kleepimisega shelliskripti, mis käivitub alglaadimisel.
Mida võtmerõngas annab ja mida mitte
Võtmerõngas hoiab saladust ühenduse profiilist väljas ja seob selle kasutajaseansiga. See ei tee saladust kättesaadavaks ilma seansita teenusele ega krüpteeri midagi võrgus. Need on eraldi omadused, mida inimesed sageli segavad. See, mida see tegelikult ostab, on väiksem kahjuraadius, kui profiilifail lekib.
Profiilis viidatud privaatvõti vajab oma õigusi, sõltumata sellest, kus parool elab.
Diagnostika saladusi välja valamata
Ühenduste nimed, UUID-d ja lipud on tavaliselt vea selgitamiseks piisavad. nmcli connection show loetleb profiili ja saladuslipud ütlevad teile, kust parool oleks pidanud tulema.
Vältige --show-secrets piletites ja vestlustes. Kui see on korra kleebitud, on see volitus transkriptsioonis.
Hoiustamine ei ole tühistamine
Saladuse eemaldamine ühest võtmerõngast ei muuda kehtetuks volitust, mille kaugoperaator on juba vastu võtnud. Konto tühistamine on serveripoolne toiming ja kohalik hoiustamine on eraldi küsimus eraldi omanikuga.
Otsustage mõlemad enne juhtumit, mitte selle ajal. Interaktiivne kasutajaühendus ja enne sisselogimist töötav teenus vajavad erinevaid vastuseid ning jagatud shelliskript ei ole kumbki. NetworkManageri saladuslippude dokumentatsioon loetleb väärtused täielikult.