სად უნდა შეინახოს Linux-მა თქვენი VPN პაროლი? არა პროფილში
NetworkManager-ის საიდუმლო დროშები წყვეტენ, პაროლს პროფილი, გასაღებების ბუდის აგენტი თუ არავინ ინახავს. პასუხი დამოკიდებულია იმაზე, როდის იწყება კავშირი.
VPN პაროლი სადღაც უნდა ცხოვრობდეს: კავშირის პროფილში, გასაღებების ბუდეში, რომელსაც სამუშაო მაგიდა ხსნის, ან არსად. NetworkManager ამ არჩევანს საიდუმლო დროშას უწოდებს, და არასწორის არჩევა არის მიზეზი იმისა, რომ კავშირი შესვლის შემდეგ მუშაობს და სერვისად ვერ ახერხებს. დროშა კონფიგურაციის ერთი ხაზია და წყვეტს, ამ სამი შედეგიდან რომელს მიიღებთ.
სამი დროშა თითქმის ყველა შემთხვევას ფარავს, და გადაწყვეტილება ეხება იმას, როდის იწყება კავშირი.
სამი საიდუმლო დროშა, სამი ქცევა
დროშა 0 ნიშნავს, რომ საიდუმლო კავშირთან ერთად ინახება, ნებისმიერ საცავში, სადაც პროფილია. დროშა 1 მას აგენტის საკუთრებად აქცევს: საიდუმლო მოდის საიდუმლო აგენტისგან, მაგალითად სამუშაო მაგიდის გასაღებების ბუდიდან, და NetworkManager მას აქტივაციისას ითხოვს. დროშა 2 ნიშნავს არ შენახულს, ამიტომ საიდუმლო არასოდეს იწერება და ყოველ ჯერზე უნდა მიეცეს. დროშა 4 საიდუმლოს არასაჭიროდ აღნიშნავს, იმ კავშირებისთვის, რომლებსაც ნამდვილად არც ერთი სჭირდებათ.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
დროშები დააყენეთ საიდუმლოს მიხედვით და არა კავშირის მიხედვით. ერთ კავშირს შეიძლება ჰქონდეს აგენტის საკუთრებაში არსებული პაროლი და შენახული პირადი გასაღების ფრაზა.
გადაწყვიტეთ იმის მიხედვით, როდის იწყება კავშირი
თუ კავშირს შესული მომხმარებელი იწყებს, აგენტის საკუთრება გონივრული ნაგულისხმევია: გასაღებების ბუდე შესვლისას იხსნება და საიდუმლო არასოდეს რჩება ფაილში. თუ კავშირი უნდა ამოვიდეს მანამ, სანამ ვინმე შევა, აგენტის საკუთრება არასწორი არჩევანია, რადგან გასახსნელი სესიის გასაღებების ბუდე არ არსებობს.
ეს არის მთელი გადაწყვეტილება. ყველაფერი დანარჩენი მისი ვარიანტია.
შესვლამდე მომუშავე სერვისისთვის მხარდაჭერილი ნიმუშია სისტემური დონის საცავი ან დაცული გასაღების ფაილი, და დაცვად ფაილის ნებართვები იქცევა. ნუ მოაგვარებთ პრობლემას პაროლის ჩასმით shell სკრიპტში, რომელიც ჩატვირთვისას ეშვება.
რას იძლევა გასაღებების ბუდე და რას არა
გასაღებების ბუდე საიდუმლოს კავშირის პროფილს გარეთ ინახავს და მომხმარებლის სესიას უკავშირებს. ის საიდუმლოს სესიის გარეშე სერვისისთვის ხელმისაწვდომს არ ხდის და ქსელში არაფერს შიფრავს. ეს განცალკევებული თვისებებია, რომლებსაც ადამიანები ხშირად ერთმანეთს ურევენ. რასაც ის ნამდვილად ყიდულობს, უფრო მცირე ზიანის რადიუსია, როცა პროფილის ფაილი ჟონავს.
პროფილის მიერ მითითებულ პირად გასაღებს საკუთარი ნებართვები სჭირდება, იმის მიუხედავად, სად ცხოვრობს პაროლი.
დიაგნოსტიკა საიდუმლოების დაღვრის გარეშე
კავშირების სახელები, UUID-ები და დროშები ჩვეულებრივ საკმარისია წარუმატებლობის ასახსნელად. nmcli connection show ჩამოთვლის პროფილს, და საიდუმლო დროშები გეუბნებიან, საიდან უნდა მოსულიყო პაროლი.
მოერიდეთ --show-secrets ბილეთებსა და ჩატში. ერთხელ ჩასმის შემდეგ ის ტრანსკრიპტში არსებული სერთიფიკატია.
შენახვა გაუქმება არ არის
საიდუმლოს ერთი გასაღებების ბუდიდან წაშლა არ აუქმებს იმ სერთიფიკატს, რომელიც დისტანციურმა ოპერატორმა უკვე მიიღო. ანგარიშის გაუქმება სერვერის მხრიდან მოქმედებაა, და ლოკალური შენახვა ცალკე საკითხია ცალკე მფლობელით.
ორივეზე გადაწყვიტეთ ინციდენტამდე, და არა მის დროს. ინტერაქტიული მომხმარებლის კავშირი და შესვლამდე მომუშავე სერვისი სხვადასხვა პასუხს მოითხოვს, და საერთო shell სკრიპტი არც ერთია. NetworkManager-ის საიდუმლო დროშების დოკუმენტაცია ჩამოთვლის მნიშვნელობებს სრულად.