Linux VPN құпиясөзіңізді қайда сақтауы керек? Профильде емес
NetworkManager құпия жалаушалары құпиясөзді профиль, кілттер сақинасының агенті әлде ешкім ұстамайтынын шешеді. Жауап қосылымның қашан басталатынына байланысты.
VPN құпиясөзі бір жерде өмір сүруі керек: қосылым профилінде, жұмыс үстелі ашатын кілттер сақинасында немесе еш жерде. NetworkManager бұл таңдауды құпия жалаушасы деп атайды, және дұрыс емесін таңдау — қосылымның кіруден кейін жұмыс істеп, қызмет ретінде сәтсіз болуының себебі. Жалауша конфигурацияның бір жолы, және ол осы үш нәтиженің қайсысын алатыныңызды шешеді.
Үш жалауша барлық дерлік жағдайды қамтиды, ал шешім қосылымның қашан басталатыны туралы.
Үш құпия жалауша, үш мінез-құлық
0 жалаушасы құпияның қосылыммен бірге сақталатынын білдіреді, профиль қай қоймада болса да. 1 жалаушасы оны агент меншігіне айналдырады: құпия құпия агентінен, мысалы жұмыс үстелінің кілттер сақинасынан келеді, және NetworkManager оны белсендіру кезінде сұрайды. 2 жалаушасы сақталмаған дегенді білдіреді, сондықтан құпия ешқашан жазылмайды және әр жолы берілуі керек. 4 жалаушасы құпияны қажетсіз деп белгілейді, шынымен ешқайсысын қажет етпейтін қосылымдар үшін.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
Жалаушаларды қосылым бойынша емес, әр құпия бойынша орнатыңыз. Бір қосылымда агент меншігіндегі құпиясөз және сақталған жеке кілт фразасы болуы мүмкін.
Қосылымның қашан басталатынына қарай шешіңіз
Егер қосылымды кірген пайдаланушы бастаса, агент меншігі орынды әдепкі: кілттер сақинасы кірумен ашылады және құпия ешқашан файлда жатпайды. Егер қосылым біреу кірмес бұрын көтерілуі керек болса, агент меншігі қате таңдау, өйткені ашатын сессия кілттер сақинасы жоқ.
Бұл бүкіл шешім. Қалғанының бәрі оның нұсқасы.
Кіруге дейінгі қызмет үшін қолдау көрсетілетін үлгі — жүйелік деңгейдегі қойма немесе қорғалған кілт файлы, ал қорғанысқа файл рұқсаттары айналады. Мәселені жүктелу кезінде іске қосылатын shell скриптіне құпиясөзді қою арқылы шешпеңіз.
Кілттер сақинасы не береді және не бермейді
Кілттер сақинасы құпияны қосылым профилінен тыс ұстайды және оны пайдаланушы сессиясына байланыстырады. Ол құпияны сессиясыз қызметке қолжетімді етпейді және желіде ештеңені шифрламайды. Бұлар адамдар жиі біріктіретін бөлек қасиеттер. Ол шынымен сатып алатыны — профиль файлы ағып кеткенде зақым радиусының кішірек болуы.
Профиль сілтейтін жеке кілт құпиясөз қайда тұрса да, өз рұқсаттарын қажет етеді.
Құпияларды төкпей диагностика
Қосылым атаулары, UUID және жалаушалар әдетте ақаулықты түсіндіруге жетеді. nmcli connection show профильді тізімдейді, ал құпия жалаушалары құпиясөз қайдан келуі керек екенін айтады.
Аулақ болыңыз --show-secrets билеттер мен чатта. Бір рет қойылған соң ол транскрипттегі тіркелгі деректері.
Сақтау — кері қайтару емес
Құпияны бір кілттер сақинасынан жою қашықтағы оператор қабылдаған тіркелгі деректерін жарамсыз етпейді. Тіркелгіні кері қайтару — сервер жағындағы әрекет, ал жергілікті сақтау — бөлек иесі бар бөлек мәселе.
Екеуін де оқиғаға дейін шешіңіз, оқиға кезінде емес. Интерактивті пайдаланушы қосылымы мен кіруге дейінгі қызмет әртүрлі жауап қажет етеді, ал ортақ shell скрипті екеуі де емес. NetworkManager-дің құпия жалаушалар құжаттамасы мәндерді толық тізімдейді.