nmcli bliuwt om it VPN-wachtwurd freegje: bewarje it geheim lokaal

Itselde profyl, twa sesjes: it ferbynt fan it buroblêd en hinget oer SSH op in fraach dy't neat beantwurdzje kin. Neat is stikken en gjin ynstelling is ferlern gien. NetworkManager freget in geheime-agens om de legitimearring, en in geheime-agens is in buroblêdkomponint dat net bestiet yn 'e sesje dy't jo brûke.

Fier de folchoarder hjirûnder út en de tunnel komt omheech sûnder skerm, mei de foarbehâld dat it bewarjen fan in geheim feroaret wa't dat profyl brûke kin.

Befêstigje de diagnoaze foardat jo wat feroarje

It ferskil tusken ynteraktyf en net-ynteraktyf aktivearjen is de hiele diagnoaze. As nmcli --ask connection up slagget wylst in gewoane aktivearring fêst rint, is it profyl goed en de boarne fan it geheim ûntbrekt. Dy iene ferliking besparret jo it wer oerskriuwen fan in konfiguraasje dy't wurket.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Lês de flaggen ynstee fan se te rieden. Werten dy't "freegje in agens" betsjutte binne wat jo sykje, en de krekte kaaienammen ferskille tusken VPN-ynstekkers om't se yn it eigen datanurdboeck fan 'e ynstekker libje. In FortiSSL-profyl en in IPsec-profyl brûke net needsaaklik deselde nammen, dus wurkje fan 'e útfier fan jo eigen profyl.

Befêstigje ek dat it ynstekkerpakket foar dat protokôl ynstallearre is. In ûntbrekkende ynstekker ferskynt as in ûnbekend ferbiningstype of as in aktivearringsflater dy't neat oer wachtwurden seit, en it jeien fan it geheim yn dy steat smyt deselde oere twa kear fuort. Ien pakketfraach is goedkeaper as in hiele middei kaaibestannen bewurkje.

Ferpleats it geheim nei it kaaibestân

It ferbiningsbestân stiet ûnder /etc/NetworkManager/system-connections/. Geheimen wurde dêr net standert bewarre, en dat is it punt fan 'e flaggen dy't jo krekt lêzen hawwe. In flag nei nul feroarje fertelt NetworkManager dat de wearde by it profyl bewarre wurdt ynstee fan by aktivearring frege te wurden.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Foar in profyl mei twa geheimen werhellet it patroan him: ien flag per geheim yn 'e seksje [vpn], en de wearden yn [vpn-secrets]. In IPsec-profyl draacht typysk in foarôf dielde kaai njonken de legitimearring fan 'e brûker, en de ynstekker neamt se oars as in gewoan wachtwurdfjild, dus kopiearje de kaaienammen út 'e útfier fan vpn.data ynstee fan út in blogberjocht dat in oare ynstekker brûkte. Ien ferkearde kaaienamme makket in profyl dat lade wurdt en dan by autentikaasje mislearret, wat krekt as in ferkeard wachtwurd lêst. Ferlykje jo bestân mei in wurkjend profyl fan deselde ynstekker foardat jo wer ferbine.

Set oanhellingstekens om wearden dy't spaasjes, oanhellingstekens of in dollarteken befetsje. In wearde sûnder oanhellingstekens mei in $ deryn wurdt letterlik lêzen of útwreide, ôfhinklik fan wêr't er parsearre wurdt, en de resultearjende autentikaasjeflater liket op in ferkeard wachtwurd.

Meitsje dan it eigendom en de modus fan it bestân goed. Dizze kaaibestannen wurde lêzen troch in befoarrjochte tsjinst, en in bestân dat oare brûkers lêze kinne wurdt as net betrouber beskôge, wat de gewoane reden is dat in bewurke profyl negearre liket te wurden. Eigener root, modus 600, gjin útsûnderingen.

Laad opnij, aktivearje dan

It bestân wurdt lêzen as de ferbining laden wurdt, dus bewurkje is net genôch. Laad de profylen opnij en bring de ferbining dan eksplisyt omheech.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

As it opnij laden de feroaring net pakt, docht in folsleine werstart fan 'e tsjinst dat, en dêr binne berjochten oer. Foarkar jaan oan opnij laden as oare keppelings fan belang binne, want it werstarten fan 'e tsjinst bruts elke beheard ferbining, en op in fiere host kin dat jo sesje einigje foardat de winske tunnel omheech is.

Brûk de UUID as nammen dûbelsinnich binne. Masines mei ferskate klantprofilen sammelje hast-dûbelingen, en it ferkearde aktivearjen jout in flater dy't op in legitimearringsprobleem liket.

As it bewarre geheim net it probleem is

In FortiSSL-profyl kin mislearje sels mei in korrekte bewarre legitimearring, om't de klant nea it sertifikaat fan 'e poarte fertrout. Dy ynstelling stiet net yn 'e haaddialooch; hy stiet efter de avansearre opsjes foar de VPN, dêr't de gearfetting fan it fertroude sertifikaat ynfierd wurdt. As it logbestân it sertifikaat neamt ynstee fan it wachtwurd, sitte jo yn dizze tûke en gjin inkelde bewurking fan [vpn-secrets] sil helpe.

Hjir hearre noch twa kontrôles. Befêstigje dat it profyl net ymportearre is út in bestân dat noch nei in paad wiist dat de ynstekker net lêze kin, en befêstigje dat it profyl it aktive is en net in ferâldere dûbeling. Beide jouwe aktivearringsflaters dy't as autentikaasjeflaters lêze.

Beslis oft bewarjen akseptabel is

In bewarre PSK en wachtwurd binne lêsber foar alles wat as root op dy masine draait. Op in masine dy't jo kontrolearje is dat in ridlike ruil foar in tsjinst sûnder skerm. Op in dielde host fertsjinnet it in petear, om't it profyl no in legitimearring befettet dy't earder troch de kaaiking fan it buroblêd beskerme waard. Freegje wa't oars root berikke kin op dy host foardat jo beslis, net neidat de feroaring yn plak is.

As belied bewarre VPN-geheimen ferbiedt, meitsje it profyl dan net swakker om in cron-taak wurkje te litten. Rinnende ferbining út in sesje mei in agens, of brûk in oar meganisme foar de automatisearring.

Ta beslút, skriuw op hokker profylen geheimen drage, sadat nimmen ien sûnder euvelmoed nei in laptop kopiearret. In opmerking boppe de geheimeseksje mei de datum en de reden is genôch, en it besparret immen letter in ûnnoflike beoardieling.