Ինչու բեռնարկման պահին մեկնարկած VPN ծառայությունը չի կարող կարդալ ձեր բանալիների շղթան
Բեռնարկման պահին VPN-ը չունի բացված գաղտնիքի գործակալ, որից պարտք վերցնի։ Կարդացեք միացման գաղտնիքի դրոշները՝ նախքան վերականգնել այն գաղտնաբառը, որը սերվերը երբեք չի մերժել։
Միացումը, որն աշխատում է մուտքից հետո և ձախողվում դրանից առաջ, սովորաբար նշանակում է, որ բեռնարկման փորձը չի կարողացել գաղտնիք ստանալ, այլ ոչ թե սերվերը մերժել է այն։ Հավատարմագրումը գոյություն ունի, իսկ այն պահանջող համատեքստը՝ ոչ։ Այդ մեկ տարբերությունը խնայում է ավելորդ գաղտնաբառի վերականգնում։
Հետևեք հարցմանը. ինչ-որ բան սկսում է միացումը մինչև աշխատասեղանի սեսիայի գոյությունը, և գաղտնիքների պահոցը, որը սովորաբար պատասխանում է, դեռ բացված չէ։ Երկու համատեքստերը համաձայն չեն, թե ում է պատկանում գաղտնիքը, և պրոֆիլը գրանցում է, թե նրանցից ով պետք է տրամադրի այն։
Ինչ է իրականում պահանջում բեռնարկման ուղին
Բեռնարկման ժամանակ NetworkManager-ը մեկնարկում է որպես համակարգային ծառայություն՝ առանց օգտատիրոջ սեսիայի, առանց սեսիայի D-Bus-ի և առանց բացված բանալիների շղթայի։ Միացման պրոֆիլը դեռ կարելի է բարձրացնել, բայց միայն այն գաղտնիքներով, որոնց ծառայությունն ինքնուրույն հասանելի է։ Ամեն ինչ, ինչ պատկանում է գաղտնիքի գործակալին, սպասում է, մինչև մարդը մուտք գործի և գործակալը հայտնվի։ Ծառայությունն անում է հենց այն, ինչ ասում է իր կարգավորումը. պրոֆիլն այն է, ինչ պետք է փոխվի։
Ձախողումը գրված է միացման մեջ, այլ ոչ թե թաքնված բանալիների շղթայում։
Միացման գաղտնիքի դրոշների ընթերցում
Հարցրեք միացմանը, թե ինչ է այն սպասում, այլ ոչ թե ինչ է հիշում աշխատասեղանը։ Դրոշների սյունակը ուղղակիորեն պատասխանում է հարցին, և այն վերապրում է վերագործարկումները սկավառակի պրոֆիլի ֆայլում։
Սկսեք պրոֆիլների ցանկից, ապա հաստատեք, թե որ միացումն է կարգավորված ինքնուրույն բարձրանալու համար։ Այնուհետև արտածեք մեկ միացում և կարդացեք գաղտնաբառի դրոշները.
nmcli -f NAME,UUID,TYPE,AUTOCONNECT connection show nmcli connection show "Work VPN" | grep -i -E "password|secret|key" journalctl -b -u NetworkManager --grep "secret"
Առաջին հրամանը հաստատում է, թե որ պրոֆիլներն են գոյություն ունենում և արդյոք մեկը կարգավորված է ավտոմատ միացման համար, ինչով էլ սկսվում է առանց հսկողության փորձը։ Երկրորդը բացահայտում է դրոշների արժեքները, իսկ երրորդը ցույց է տալիս, թե ինչպես է ծառայությունը բողոքում, որ տվյալ գաղտնիքի համար ոչ մի գործակալ չի պատասխանել։ Մատյանի այն տողը, որը գաղտնիքը անվանում է գործակալին պատկանող, ողջ ախտորոշումն է մեկ նախադասության մեջ։
| Flag value | Where the secret lives | Behaviour before login |
|---|---|---|
| 0 | Stored in the connection profile | Available to the system service |
| 1 | Owned by a secret agent | Blocks until the agent is unlocked |
| 2 | Never stored | Prompts on every activation |
| 4 | Not required | Never requested at all |
Ինչու միացումը համակարգային շրջանակ տեղափոխելը փոխում է պատասխանը
Օգտատիրոջը պատկանող միացումը ակտիվանում է այդ օգտատիրոջ գործակալի ներքո, դրա համար էլ այն անթերի աշխատում է հենց աշխատասեղանը բարձրանում է։ Համակարգային շրջանակ տեղափոխելը հանում է գործակալին ուղուց, այնպես որ նույն պրոֆիլը այլ կերպ է վարվում՝ առանց VPN-ի կարգավորման ոչ մի տող փոխելու։
Այդ տեղափոխումը օրինական ձևավորում է, և այն պահանջ է կրում՝ գաղտնիքը պետք է հասանելի լինի համակարգային ծառայությանը։ Այն պրոֆիլում պահելը, համակարգային շրջանակի հավատարմագրմամբ տրամադրելը կամ ճիշտ պահին ինտերակտիվ հուշում ընդունելը բոլորը վավեր պատասխաններ են։ 1 դրոշը թողնելը և հույս ունենալը՝ ոչ։
Սեփական գաղտնաբառային արտահայտությամբ մասնավոր բանալին ավելացնում է երկրորդ շերտ։ Նույնիսկ պահված հաշվի գաղտնաբառը չի բացի բանալին, որը պահանջում է գաղտնաբառային արտահայտություն, ուստի ստուգեք, թե որ գաղտնիքն է իրականում պահանջում ձախողվող փուլը՝ նախքան ինչ-որ բան փոխելը։
Ինչ չանել և ինչ անել փոխարենը
Յուրաքանչյուր հավատարմագրման ֆայլ բոլորի համար ընթեռնելի դարձնելը կամ նույնականացումն անջատելը, որպեսզի հուշում պետք չգա, մեկնարկի անհարմարությունը փոխանակում է մշտական բացահայտման հետ։ Երկուսն էլ նաև թաքցնում են կախվածությունը՝ փոխարենը լուծելու, և հաջորդ պատկերի թարմացումը վերադարձնում է նույն ձախողումը։
Այդ փուլում օգտագործեք այն մեխանիզմը, որը ձեր բաշխումը փաստագրում է առանց հսկողության ակտիվացման համար, ապա հաստատեք, որ պրոֆիլի դրոշները համապատասխանում են դրան։ Ստուգեք արդյունքը մաքուր բեռնարկումից, այլ ոչ թե արդեն գործակալ ունեցող կեղևից։ Գրեք միացման սեփականատիրոջը, գաղտնիքի աղբյուրը և այն փուլը, որը պետք է աշխատի, որպեսզի հետագա ինքնամեկնարկի փոփոխությունը չկարողանա լուռ վերադարձնել կախվածությունը նրանից, որ ինչ-որ մեկը նախ բացի աշխատասեղանը։ Փաստագրումը տարբերությունն է վերանորոգված ծառայության և հաջորդ եռամսյակում նորից փչացողի միջև։
Փորձարկեք վերահսկվող մաքուր բեռնարկումից, այլ ոչ թե մուտքից հետո ձեռքով կրկնափորձից։ Կրկնափորձը հաջողվում է այն պատճառով, ինչով ձախողվել է բեռնարկման փորձը, և դա հենց այն ապացույցն է, որը ոչնչացնում է արագ թեստը։