Wêrom't in VPN-tsjinst dy't by it opstarten begjint jo kaai-ring net lêze kin
In VPN by it opstarten hat gjin ûntsletten geheimagent om fan te lienen. Lês de geheimflaggen fan 'e ferbining foardat jo in wachtwurd weromsette dat de tsjinner nea wegere.
In ferbining dy't nei it oanmelden wurket en dêrfoar mislearret, betsjut meastentiids dat de opstartpoging gjin geheim krije koe, net dat de tsjinner ien wegere. It bewiis bestiet; de kontekst dy't derom freget, net. Dat iene ûnderskie sparret in ûnnoadich wachtwurdweromsetten.
Folgje it fersyk: eat startet de ferbining foardat der in buroblêdsesje is, en de geheimopslach dy't normaal antwurdet is noch net ûntsletten. De twa konteksten binne it net iens oer wa't it geheim hat, en it profyl leit fêst hokker fan har it leverje moat.
Wat it opstartpaad eins freget
By it opstarten start NetworkManager as in systeemtsjinst sûnder brûkerssesje, sûnder sesje-D-Bus en sûnder ûntsletten kaai-ring. In ferbiningsprofyl kin noch wol omheech brocht wurde, mar allinnich mei geheimmen dy't de tsjinst sels berikke kin. Alles dat fan in geheimagent is, wachtet oant in minske oanmeldt en de agent ferskynt. De tsjinst docht krekt wat syn konfiguraasje seit; it profyl is it ding dat feroarje moat.
De mislearring is yn 'e ferbining skreaun ynstee fan yn in kaai-ring ferstoppe.
De geheimflaggen op in ferbining lêze
Freegje de ferbining wat it ferwachtet, net wat it buroblêd ûnthâldt. De flaggenkolom beantwurdet de fraach direkt, en it oerlibbet werstarts yn it profylbestân op 'e skiif.
Begjin mei de profylist en befêstigje dan hokker ferbining ynsteld is om fansels omheech te kommen. Dump dan ien ferbining en lês de wachtwurdflaggen:
nmcli -f NAME,UUID,TYPE,AUTOCONNECT connection show nmcli connection show "Work VPN" | grep -i -E "password|secret|key" journalctl -b -u NetworkManager --grep "secret"
It earste kommando befêstiget hokker profylen besteane en oft ien op automatysk ferbinen stiet, wat is hoe't in net-bewekke poging yn 't earstoan begjint. It twadde iepenbiaret de flagwearden, en it tredde lit de tsjinst kleie dat gjin agent foar in bepaald geheim antwurde. In logrigel dy't in geheim as agent-eigendom neamt, is de hiele diagnoaze yn ien sin.
| Flag value | Where the secret lives | Behaviour before login |
|---|---|---|
| 0 | Stored in the connection profile | Available to the system service |
| 1 | Owned by a secret agent | Blocks until the agent is unlocked |
| 2 | Never stored | Prompts on every activation |
| 4 | Not required | Never requested at all |
Wêrom't it ferpleatsen fan 'e ferbining nei systeemberik it antwurd feroaret
In ferbining fan in brûker wurdt ûnder de agent fan dy brûker aktivearre, dêrom wurket it perfekt sadree't it buroblêd omheech is. It ferpleatsen nei systeemberik hellet de agent út it paad, dus itselde profyl gedraacht him oars sûnder dat ien rigel VPN-konfiguraasje feroaret.
Dy ferpleatsing is in legitime ûntwerp, en it bringt in eask mei: it geheim moat berikber wêze foar de systeemtsjinst. It yn it profyl opslaan, it leverje fia in bewiis fan systeemberik, of in ynteraktive frege op it juste momint akseptearje binne allegear jildige antwurden. Flag 1 litte stean en hoopje is dat net.
In priveekaai mei syn eigen wachtwurdferzje foeget in twadde laach ta. Sels in opslein akkountwachtwurd sil in kaai net ûntslute dat in wachtwurdferzje wol, dus kontrolearje hokker geheim de mislearjende stap eins freget foardat jo eat feroarje.
Wat net te dwaan, en wat ynstee te dwaan
Elk bewiisbestân foar elkenien lêsber meitsje, of autentikaasje útsette sadat gjin frege nedich is, ruilet in opstartûngemak foar in permaninte bleatstelling. Beide ferstopje ek de ôfhinklikens ynstee fan it op te lossen, en de folgjende byldbywurking bringt deselde mislearring werom.
Brûk by dy stap it meganisme dat jo distribúsje dokumintearret foar net-bewekke aktivearring, en befêstigje dan dat de flaggen fan it profyl dêrby passe. Kontrolearje it resultaat fan in skjinne opstart, net fan in shell dy't al in agent hat. Skriuw de ferbiningseigner, de boarne fan it geheim en de stap dy't wurkje moat op, sadat in lettere autostart-feroaring net stilwei in ôfhinklikens fan immen syn buroblêd ûntsluten werom bringe kin. Dokumintaasje is it ferskil tusken in reparearre tsjinst en ien dy't folgjend fearnsjier wer brekt.
Test fan in kontrolearre skjinne opstart ynstee fan in hânmjittige werpoging nei it oanmelden. De werpoging slagget om 'e reden wêrom't de opstartpoging mislearre, en dat is krekt it bewiis dat in flugge test ferneatiget.