NetworkManager-ге сақталған VPN құпия сөзін көрсетуге жол бермеңіз
Әр жолы сұраңыз, оны кілттер шоғырына тапсырыңыз немесе тек root үшін файл ұстаңыз. Әр таңдаудың әсері бөлек, ал құпия сөз жалаушасы соған сай болуы керек.
NetworkManager VPN құпия сөзін сақтай алады, сондықтан байланыс ешкім теруінсіз көтеріледі, және ол бұл мәнді редактор немесе nmcli --show-secrets арқылы қайта көрсете алады. Меншіктің үш моделі бар, ал көрсету тәртібі тек қайсысын таңдағаныңыздың белгісі. Алдымен модельді таңдаңыз, содан кейін оған сай жалаушаны қойыңыз; келесі адамды шатастыратын толтырғышпен өрісті жасырмаңыз.
Меншіктің үш моделі
Бірінші модель әр жолы сұрайды. Ештеңе сақталмайды, құпия тек белсендіру кезінде ғана болады, ал байланысты бастаған адам құпия сөзді білуі керек. Бұл ең қолайсыз нұсқа және қорғауға ең оңай.
Екіншісі құпияны пайдаланушыға тиесілі кілттер шоғырына тапсырады. Агент сессия басталғанда ашылады және мәнді сұраныс бойынша береді, бұл оны байланыс файлынан тыс ұстайды, бірақ байланысты сол пайдаланушының сессиясына байлайды. Осыдан екі шарт шығады: агент жұмыс істеуі керек және ашық болуы керек.
Үшіншісі жүйелік байланыс үшін қорғалған куәлікті сақтайды. Ол қайта жүктеулерге шыдайды және біреу жүйеге кірместен бұрын жұмыс істейді, ал орнына мән дискіде файл рұқсаттарымен қорғалады, шифрлаумен емес.
Әр модель дұрыс контексте орынды. Қате — оларды араластыру, осылайша ноутбукте құпия екі жерде қалады және қайсысы басты екені айқын болмайды. Профиль қай модельді пайдаланатынын жазып қойыңыз. Команда нұсқаулығындағы бір жол келесі адамды төртінші іздеу орнын ойлап табудан құтқарады.
Өзгерту алдында ағымдағы күйді оқыңыз
Байланысты басқаратын пайдаланушы ретінде профильге және құпияның күйіне қараңыз. Екінші команда — мәннің шынымен оқылатынын айтатын команда.
nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnectionСол қалтадағы кілт файлы әдетте root-қа тиесілі және режимі 600. Бұл қарапайым пайдаланушыларды сыртта ұстайды, бірақ root-ты сыртта ұстамайды, ал бұл бір машина ортақ болғанда немесе сақтық көшірме root ретінде жүргенде маңызды.
Файл рұқсаттары — шекара, шифрлау емес. Файлды root ретінде оқи алатын адамның қолында құпия сөз ашық мәтінде болады. Бұл қадағалаусыз сервер үшін қолайлы айырбас, ал ортақ жұмыс станциясы үшін нашар. Бір рет жазып қою мәннің қорғалғаны туралы ұзақ дауды болдырмайды.
Әр жалауша мәні не істейді
VPN құпиясында flags қасиеті бар, ал мәндер тек сандардан түсінікті емес.
| Value | Meaning | Practical effect |
|---|---|---|
| 0 | No special flag | Secret is typically saved with the connection |
| 1 | Agent-owned | A keyring or secret agent supplies it |
| 2 | Not saved | Prompted at each activation |
| 4 | Not required | Connection proceeds without asking |
Нақты мінез-құлық плагинге және агенттің жұмыс істеп тұрғанына да байланысты, сондықтан кестені шарт, ал байқалған мінез-құлықты тексерілетін нәрсе деп қабылдаңыз. Бір жұмыс үстелінде жұмыс істейтін мән сессиясыз серверде басқаша әрекет етуі мүмкін. Шатастыратын билеттердің көбі осы алшақтықта жатыр.
Жолды өшіріп, үміттенудің орнына қасиетті анық орнатыңыз. Жоқ жалауша саясат емес, ал келесі бума жаңартуы оны сіз ойламаған нәрсемен толтыруы мүмкін.
Модельді байланыс басталатын уақытқа сәйкестендіріңіз
Егер байланыс тек пайдаланушы жүйеге кірген кезде басталса, агент меншігі жақсы сәйкеседі және құпияны файлдан тыс ұстайды. Егер ол жүктелу кезінде, ешбір сессия болмай тұрып басталса, агент сізге көмектесе алмайды.
Көптеген машина үшін бүкіл шешім осы. Бұл сондай-ақ байланыс интерактивті түрде жұмыс істеп, қайта жүктеуден кейін сәтсіз болатын шатастыратын есептердің бір тобын түсіндіреді. Жалауша ешқашан өзгерген жоқ, контекст өзгерді.
Қадағалаусыз жағдай үшін практикалық жауап — root-қа тиесілі шектеулі файл немесе мақұлданған куәлік көзі. Егер бұл профиль бірде экспортталса немесе басқа машинаға көшірілсе, оны байланыс профилінен тыс ұстаңыз.
Егер мән бұрыннан көрініп тұрса, оны ауыстырыңыз
Жалаушаны өзгерту құпия сөздің өзіне тимейді. Экран суретінде, shell тарихында, қолдау қызметіне жіберілген бумада немесе басқа пайдаланушылар аша алған файлда пайда болған мәнді ашылған деп санау керек.
Оны серверде өзгертіңіз, содан кейін клиентті түзетіңіз және ескісімен аутентификацияланған кез келген сессияны тоқтатыңыз. Жергілікті байланысты жою арғы жақта ештеңені жоймайды, ал адамдар осы бөлікті ұмытып кетеді.
Содан кейін құпия сөзді пәрмен жолына қоюды тоқтатыңыз. Ол shell тарихына түседі және процестер тізімінде көрінуі мүмкін; оның орнына интерактивті сұранысты немесе агентті пайдаланыңыз.
Қайта қосылып тексеріңіз
Құпияны көрсеткен пәрменді қайталаңыз және өрістің енді басылмайтынына көз жеткізіңіз. Содан кейін ажыратып, қайта қосылыңыз, ал байланыс автоматты түрде басталса, қайта жүктеңіз, өйткені қызықты ақау тек сессия контексті өзгергенде пайда болады.
Егер құпия әлі де көрінсе, оны басқа профиль немесе басқа агент береді. Файлдарды жоюдың орнына белсенді байланыс пен кілттер шоғырын тексеріңіз, симптом жылжығанша.