Linux VPN сырсөзүңүздү кайда сакташы керек? Профилде эмес
NetworkManager'дын сыр жасалмалары сырсөздү профиль, ачкыч шакегинин агенти же эч ким кармабайбызды чечет. Жооп байланыш качан башталаарына көз каранды.
VPN сырсөзү бир жерде жашоосу керек: байланыш профилинде, иш такта ачкан ачкыч шакегинде же эч жерде. NetworkManager бул тандоону сыр жасалмасы деп атайт, жана туура эмесин тандоо — байланыш кирүүдөн кийин иштеп, кызмат катары ийгиликсиз болушунун себеби. Жасалма конфигурациянын бир сабы, жана ал ушул үч натыйжанын кайсынысын алаарыңызды чечет.
Үч жасалма дээрлик бардык учурду камтыйт, ал эми чечим байланыш качан башталаары тууралуу.
Үч сыр жасалмасы, үч жүрүм-турум
0 жасалмасы сыр байланыш менен бирге сакталаарын билдирет, профиль кайсы кампада болбосун. 1 жасалмасы аны агенттин менчигине айландырат: сыр сыр агентинен, мисалы иш тактанын ачкыч шакегинен келет, жана NetworkManager аны активдештирүүдө сурайт. 2 жасалмасы сакталбаган дегенди билдирет, ошондуктан сыр эч качан жазылбайт жана ар бир жолу берилиши керек. 4 жасалмасы сырды керексиз деп белгилейт, чынында эч бирин талап кылбаган байланыштар үчүн.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
Жасалмаларды байланыш боюнча эмес, ар бир сыр боюнча коюңуз. Бир байланышта агентке таандык сырсөз жана сакталган жеке ачкыч фразасы болушу мүмкүн.
Байланыш качан башталаарына жараша чечиңиз
Эгер байланышты кирген колдонуучу баштаса, агенттин менчиги акылга сыярлык демейки: ачкыч шакеги кирүү менен ачылат жана сыр эч качан файлда жатпайт. Эгер байланыш бирөө киргенге чейин көтөрүлүшү керек болсо, агенттин менчиги туура эмес тандоо, анткени ачуу үчүн сессиялык ачкыч шакеги жок.
Бул бүт чечим. Калганынын баары анын варианты.
Кирүүгө чейинки кызмат үчүн колдоого алынган үлгү — системаалык деңгээлдеги кампа же корголгон ачкыч файлы, ал эми коргоого файл уруксаттары айланат. Маселени жүктөөдө иштеген shell скриптине сырсөздү жабыштыруу менен чечпеңиз.
Ачкыч шакеги эмне берет жана эмне бербейт
Ачкыч шакеги сырды байланыш профилинен тышкары кармайт жана аны колдонуучу сессиясына байлайт. Ал сырды сессиясыз кызматка жеткиликтүү кылбайт жана тармакта эч нерсени шифрлебейт. Бул адамдар көп бириктирген өзүнчө касиеттер. Ал чындап сатып алаары — профиль файлы агып кеткенде зыян радиусунун кичине болушу.
Профиль шилтеме кылган жеке ачкыч сырсөз кайда жашаарына карабастан өз уруксаттарын талап кылат.
Сырларды төкпөй диагностика
Байланыш аттары, UUID жана жасалмалар адатта бузулушту түшүндүрүүгө жетет. nmcli connection show профилди тизмелейт, ал эми сыр жасалмалары сырсөз кайдан келиши керек болгонун айтып берет.
Качкыла --show-secrets билеттерде жана чатта. Бир жолу жабыштырылгандан кийин ал транскрипттеги эсептик маалымат.
Сактоо — жокко чыгаруу эмес
Сырды бир ачкыч шакегинен алып салуу алыскы оператор мурунтан кабыл алган эсептик маалыматты жараксыз кылбайт. Эсепти жокко чыгаруу — сервер тараптагы аракет, ал эми жергиликтүү сактоо — өзүнчө ээси бар өзүнчө маселе.
Экөөнү тең окуяга чейин чечиңиз, окуя учурунда эмес. Интерактивдүү колдонуучу байланышы жана кирүүгө чейинки кызмат ар башка жооп талап кылат, ал эми жалпы shell скрипти экөө тең эмес. NetworkManager'дын сыр жасалмалары боюнча документтери маанилерди толук тизмелейт.