Ferhinderje dat NetworkManager in bewarre VPN-wachtwurd toant
Freegje elke kear, jou it oan in kaairinge of hâld in bestân dat allinnich root iepenje kin. Elke kar hat in oare bleatstelling, en de wachtwurdflag moat dêrby passe.
NetworkManager kin in VPN-wachtwurd hâlde sadat de ferbining omheech komt sûnder dat immen it yntype, en it kin dy wearde wer toane fia de bewurker of fia nmcli --show-secrets. Der binne trije eignerskipmodellen, en it toaningsgedrach is allinnich in symptoom fan hokker oft jo keazen hawwe. Kies earst it model en set dan de flag dy't dêrby past, ynstee fan in fjild te ferstopjen mei in plakhâlder dy't de folgjende persoan ferbjusteret.
Trije eignerskipmodellen
It earste model freget elke kear. Der wurdt neat bewarre, it geheim bestiet allinnich salang de aktivearring duorret, en wa't de ferbining start, moat it wachtwurd kenne. It is de minst handige opsje en de maklikste om te ferdigenjen.
It twadde jout it geheim oan in kaairinge dy't fan de brûker is. De agent ûntslút as de sesje begjint en leveret de wearde op oanfreger, wat it bûten it ferbiningsbestân hâldt mar de ferbining oan dy sesje fan dy brûker ferbynt. Dêrút folgje twa betingsten: de agent moat rinne, en hy moat ûntsletten wêze.
It tredde bewarret in beskerme bewiis foar in systeemferbining. It oerlibbet werstart en wurket foardat immen oanmeldet, en yn ruil dêrfoar leit de wearde op skiif beskerme troch bestânsrjochten ynstee fan fersifering.
Elk model is ridlik yn de goede kontekst. De flater is se te mingelen, en sa einiget in laptop mei in geheim op twa plakken en sûnder dúdlik antwurd hokker oft gesach hawwe moat. Skriuw op hokker model in profyl brûkt. Ien regel yn it teamsboek besparret de folgjende persoan it betinken fan in fjirde plak om te sykjen.
Lês de hjoeddeiske tastân foardat jo dy feroarje
Sjoch nei it profyl en nei de tastân fan it geheim as de brûker dy't de ferbining beheart. It twadde kommando is dat wat jo seit oft de wearde echt lêsber is.
nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnectionIn kaai-bestân yn dy map is normaal fan root mei modus 600. Dat hâldt gewoane brûkers bûten en hâldt root net bûten, wat fan belang is as deselde masine dield wurdt of as in reservekopy as root rint.
Bestânsrjochten binne in grins, gjin fersifering. Wa't it bestân as root lêze kin, hat it wachtwurd yn heldere tekst. Dat is in akseptabele ruil foar in tsjinner sûnder tafersjoch en in minne foar in dielde wurkstasjon. It ien kear opskriuwen foarkomt in lange diskusje oer oft de wearde beskerme is.
Wat elke flagwearde docht
It VPN-geheim draacht in eigenskip flags, en de wearden binne net yntuïtyf út ’e sifers allinnich.
| Value | Meaning | Practical effect |
|---|---|---|
| 0 | No special flag | Secret is typically saved with the connection |
| 1 | Agent-owned | A keyring or secret agent supplies it |
| 2 | Not saved | Prompted at each activation |
| 4 | Not required | Connection proceeds without asking |
It wiere gedrach hinget ek ôf fan ’e plugin en fan oft der in agent rint, behannelje de tabel dus as it kontrakt en it waarnommen gedrach as dat wat jo ferifiearje. In wearde dy't op ien buroblêd wurket, kin him op in tsjinner sûnder sesje oars gedrage. Yn dat gat libje de measte ferbjusterjende kaartsjes.
Set de eigenskip eksplisyt ynstee fan in regel te wiskjen en te hope. In ôfwêzige flag is gjin belied, en de folgjende pakketfernijing kin him folje mei eat dat jo net fan doel wiene.
Pas it model oan wannear’t de ferbining begjint
As de ferbining allinnich begjint wylst in brûker oanmeld is, past eignerskip fan de agent goed en hâldt it geheim bûten it bestân. As it by it opstarten begjint, foardat der in sesje is, kin in agent jo net helpe.
Dat is de hiele beslissing foar de measte masines. It ferklearret ek in klasse ferbjusterjende rapporten wêrby’t de ferbining ynteraktyf wurket en nei in werstart mislearret. De flag is nea feroare; de kontekst wol.
Foar it gefal sûnder tafersjoch is in beheind bestân fan root of in goedkarde boarne fan bewiis it praktyske antwurd. Hâld it bûten it ferbiningsprofyl as dat profyl ea eksportearre of nei in oare masine kopiaat wurdt.
As de wearde al sichtber wie, feroarje him dan
It feroarjen fan in flag lit it wachtwurd sels ûnoantaaste. In wearde dy't opdûkte yn in skermôfdruk, yn ’e shell-skiednis, yn in bondel dy't nei stipe stjoerd is of yn in bestân dat oare brûkers iepenje koenen, moat as iepenbiere beskôge wurde.
Feroarje him op de tsjinner, reparearje dan de klant en beëinigje elke sesje dy't him mei de âlde ferifisearre hat. It wiskjen fan ’e lokale ferbining ropt oan ’e oare kant neat werom, en dat is it part dat minsken misse.
Hâld dan op it wachtwurd op ’e kommandorigel te setten. It bedarret yn ’e shell-skiednis en kin yn in proseslist ferskine; brûk ynstee de ynteraktive frege of de agent.
Ferifiearje troch wer te ferbinen
Werhelje it kommando dat it geheim toande en befêstigje dat it fjild net mear printe wurdt. Ferbine dan los en wer, en werstart as de ferbining automatysk begjint, want de nijsgjirrige fout ferskynt allinnich as de sesjekontekst feroaret.
As it geheim noch hieltyd ferskynt, leveret in oar profyl of in oare agent it. Undersykje de aktive ferbining en de kaairinge ynstee fan bestannen te wiskjen oant it symptoom ferpleatst.