NetworkManager сакталган VPN сырсөзүн көрсөтпөсүн
Ар жолу сураңыз, ачкыч шакекчесине өткөрүп бериңиз же root үчүн гана файл кармаңыз. Ар бир тандоонун таасири башка, жана сырсөз туусу ага туура келиши керек.
NetworkManager VPN сырсөзүн сактай алат, ошондуктан байланыш эч ким тербестен көтөрүлөт, жана ал бул маанини редактор же nmcli --show-secrets аркылуу кайра көрсөтө алат. Менчик ээлигинин үч модели бар, ал эми көрсөтүү жүрүм-туруму сиз тандаганыңыздын белгиси гана. Адегенде моделди тандаңыз, анан ага туура келген тууну коюңуз; кийинки адамды адаштыра турган толуктооч менен талааны жашырбаңыз.
Менчик ээлигинин үч модели
Биринчи модель ар жолу сурайт. Эч нерсе сакталбайт, сыр тек активдешүү убагында гана болот, ал эми байланышты баштаган адам сырсөздү билиши керек. Бул эң ыңгайсыз вариант жана коргоо үчүн эң жеңил.
Экинчиси сырды колдонуучуга таандык ачкыч шакекчесине өткөрүп берет. Агент сессия башталганда ачылат жана маанини суроо боюнча берет, бул аны байланыш файлынан тышкары кармайт, бирок байланышты ошол колдонуучунун сессиясына байлайт. Ушундан эки шарт келип чыгат: агент иштеп турушу керек жана ачык болушу керек.
Үчүнчүсү системалык байланыш үчүн корголгон күбөлүктү сактайт. Ал кайра жүктөөлөргө туруштук берет жана бирөө киргенге чейин иштейт, ал эми ордуна маани дискте файл укуктары менен корголот, шифрлөө менен эмес.
Ар бир модель туура контекстте акылга сыярлык. Ката — аларды аралаштыруу, ошентип ноутбукта сыр эки жерде калат жана кайсынысы негизги экени айкын болбойт. Профиль кайсы моделди колдонорун жазып коюңуз. Командалык колдонмодогу бир сап кийинки адамды төртүнчү издөө ордун ойлоп табуудан сактайт.
Өзгөртүүдөн мурун учурдагы абалды окуңуз
Байланышты башкарган колдонуучу катары профилди жана сырдын абалын караңыз. Экинчи буйрук — маани чындап окулабы же жокпу айта турган буйрук.
nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnectionОшол папкадагы ачкыч файлы адатта rootко таандык жана режими 600. Бул кадимки колдонуучуларды тышкары кармайт, бирок rootту тышкары кармабайт, ал эми бул бир машина жалпы болгондо же камдык көчүрмө root катары иштегенде маанилүү.
Файл укуктары — чек, шифрлөө эмес. Файлды root катары окуй алган адамдын колунда сырсөз ачык текстте болот. Бул көзөмөлсүз сервер үчүн кабыл алынарлык алмашуу, ал эми жалпы жумуш станциясы үчүн начар. Бир жолу жазып коюу маани корголгонбу деген узак талкууну болтурбайт.
Ар бир туу мааниси эмне кылат
VPN сырында flags касиети бар, жана маанилер сандардан гана түшүнүксүз.
| Value | Meaning | Practical effect |
|---|---|---|
| 0 | No special flag | Secret is typically saved with the connection |
| 1 | Agent-owned | A keyring or secret agent supplies it |
| 2 | Not saved | Prompted at each activation |
| 4 | Not required | Connection proceeds without asking |
Чыныгы жүрүм-турум плагинге жана агенттин иштеп жатканына да байланыштуу, андыктан таблицаны келишим, байкалган жүрүм-турумду текшериле турган нерсе деп кабыл алыңыз. Бир жумуш үстөлүндө иштеген маани сессиясыз серверде башкача болушу мүмкүн. Адаштырган билеттердин көбү ушул ажырымда жатат.
Сапты өчүрүп, үмүт кылгандын ордуна касиетти так коюңуз. Жок туу саясат эмес, жана кийинки топтом жаңыртуусу аны сиз ойлобогон нерсе менен толтурушу мүмкүн.
Моделди байланыш башталган убакытка ылайыкташтырыңыз
Эгер байланыш колдонуучу киргенде гана башталса, агент ээлиги жакшы туура келет жана сырды файлдан тышкары кармайт. Эгер ал жүктөө убагында, эч кандай сессия боло электе башталса, агент сизге жардам бере албайт.
Көпчүлүк машине үчүн бүт чечим ушул. Бул ошондой эле байланыш интерактивдүү иштеп, кайра жүктөөдөн кийин иштебей калган адаштырган отчёттордун бир классын түшүндүрөт. Туу эч качан өзгөргөн жок, контекст өзгөрдү.
Көзөмөлсүз учур үчүн практикалык жооп — rootко таандык чектелген файл же бекитилген күбөлүк булагы. Эгер ал профиль качандыр бир экспорттолсо же башка машинеге көчүрүлсө, аны байланыш профилинен тышкары кармаңыз.
Эгер маани мурунтан көрүнүп турса, аны алмаштырыңыз
Тууну өзгөртүү сырсөздүн өзүнө тийбейт. Экран сүрөтүндө, shell тарыхында, колдоо кызматына жөнөтүлгөн топтомдо же башка колдонуучулар ача алган файлда пайда болгон маани ачылган деп эсептелиши керек.
Аны серверде өзгөртүңүз, анан кардарды оңдоп, эски менен аутентификацияланган ар кандай сессияны токтотуңуз. Жергиликтүү байланышты жок кылуу аркы тарапта эч нерсени жокко чыгарбайт, жана адамдар ушул бөлүктү унутуп калышат.
Андан кийин сырсөздү буйрук сабына коюуну токтотуңуз. Ал shell тарыхына түшөт жана процесстер тизмесинде көрүнүшү мүмкүн; анын ордуна интерактивдүү сурамды же агентти колдонуңуз.
Кайра туташып текшериңиз
Сырды көрсөткөн буйрукту кайталаңыз жана талаа эми басылбай турганын ырастаңыз. Анан ажырап, кайра туташыңыз, ал эми байланыш автоматтык түрдө башталса, кайра жүктөңүз, анткени кызыктуу бузулуу сессия контексти өзгөргөндө гана пайда болот.
Эгер сыр дагы көрүнүп турса, аны башка профиль же башка агент берет. Файлдарды жок кылуунун ордуна активдүү байланышты жана ачкыч шакекчесин текшериңиз, симптом жылганга чейин.