nmcli freet ëmmer no dem VPN-Passwuert: späichert de Geheimnis lokal

Deem selwechte Profil, zwou Sessiounen: en verbënnt vum Desktop aus a bleift iwwer SSH op engem Prompt hänken, deen näischt ka beäntweren. Näischt ass futti an keng Astellung ass verluer gaangen. Den NetworkManager freet en Geheimnis-Agent no der Authentifikatioun, an en Geheimnis-Agent ass eng Desktop-Komponent, déi et an der Sessioun, déi Dir benotzt, net gëtt.

Fëllt d'Sequenz hei drënner aus, an den Tunnel kënnt ouni Interface erop, mat der Viraussetzung, datt d'Späicheren vun engem Geheimnis ännert, wien dee Profil ka benotzen.

Bestätegt d'Diagnos, ier Dir eppes ännert

Den Ënnerscheed tëscht interaktiver an net-interaktiver Aktivéierung ass déi ganz Diagnos. Wann nmcli --ask connection up geléngt, während eng normal Aktivéierung hänkt, ass de Profil richteg an d'Quell vum Geheimnis feelt. Dee eenzege Verglach spuert Dir d'Ëmschreiwen vun enger Konfiguratioun, déi funktionéiert.

nmcli -f NAME,UUID,TYPE connection show
nmcli connection show "Office IPsec" | grep -i flags

Liest d'Flaggen, amplaz se ze roden. Wäerter, déi "fro en Agent" heeschen, sinn dat, wat Dir sicht, an déi genee Schlësselnimmere sinn tëscht VPN-Plugins ënnerschiddlech, well se am eegene Datewörterbuch vum Plugin liewen. E FortiSSL-Profil an en IPsec-Profil benotzen net onbedéngt déiselwecht Nimm, also schafft aus dem Output vun Ärem eegene Profil.

Bestätegt och, datt de Plugin-Pak fir dee Protokoll installéiert ass. E fehlende Plugin weist sech als onbekannten Verbindungstyp oder als Aktivéierungsfehler, deen näischt iwwer Passwierder seet, an dem Geheimnis ze nogoen an deem Zoustand verschwënnt déiselwecht Stonn zweemol. Eng eenzeg Pak-Ufro ass méi bëlleg wéi en ganzen Nomëtteg Schlësselfichieren z'änneren.

Verplatzt de Geheimnis an d'Schlësselfichier

D'Verbindungsfichier läit ënner /etc/NetworkManager/system-connections/. Geheimnisser ginn do net standardméisseg versuergt, an dat ass de Sënn vun de Flaggen, déi Dir just gelies hutt. Eng Flag op null ze setzen seet dem NetworkManager, datt de Wäert mam Profil versuergt gëtt, amplaz en bei der Aktivéierung ze froen.

[vpn]
password-flags=0

[vpn-secrets]
password=YOUR-VPN-PASSWORD

Bei engem Profil mat zwee Geheimnisser widderhëlt sech de Muster: eng Flag pro Geheimnis am Abschnitt [vpn], an d'Wäerter an [vpn-secrets]. En IPsec-Profil dréit typesch e viraus gedeelte Schlëssel nieft der Benotzer-Authentifikatioun, an de Plugin nennt se anescht wéi en normale Passwuertfeld, also kopéiert d'Schlësselnimmere vum Output vun vpn.data amplaz vun engem Blogbeitrag, deen en anere Plugin benotzt huet. Een eenzege falsche Schlësselnumm produzéiert e Profil, deen ufgeschaaft gëtt an duerno bei der Authentifikatioun feelt, wat genau wéi e falscht Passwuert liest. Vergläicht Är Fichier mat engem funktionéierende Profil vum selwechte Plugin, ier Dir Iech erëm verbënnt.

Setzt Wäerter mat Espace, Uférungszeechen oder engem Dollarzeechen an Uférungszeechen. En onquotéierte Wäert mat engem $ dran gëtt wuertwiertlech gelies oder ausgebaut, jee nodeem wou en analyséiert gëtt, an den doduerch entstehende Authentifikatiounsfehler gesäit aus wéi e falscht Passwuert.

Korrigéiert duerno d'Eegeschaft an de Modus vun der Fichier. Dës Schlësselfichiere gi vun engem privilegiéierte Service gelies, an eng Fichier, déi aner Benotzer kënne liesen, gëtt als onvertrauenswürdeg ugesinn, wat de gewéinleche Grond ass, firwat en editéierte Profil ignoréiert ze ginn schéngt. Proprietär root, Modus 600, keng Ausnamen.

Nei lueden, dann aktivéieren

D'Fichier gëtt gelies, wann d'Verbindung gelueden gëtt, also geet et net duer, se z'änneren. Lued d'Profiler nei a hieft duerno d'Verbindung ausdrécklech.

sudo nmcli connection reload
sudo nmcli connection up "Office IPsec"

Wann d'Nei-Lueden d'Ännerung net hëlt, mécht e kompletten Neistart vum Service dat, an et gëtt Berichter iwwer genau dat. Preferéiert d'Nei-Lueden, wann aner Linke wichteg sinn, well de Neistart vum Service all verwalt Verbindung ënnerbrécht, an op engem wäitem Host kann dat Är Sessioun enden, ier den Tunnel, deen Dir wëllt, erop ass.

Benotzt d'UUID, wann Nimm zweedeiteg sinn. Maschinnen mat méi Client-Profiler accumuléieren bal-Duplikater, an déi falsch aktivéieren produzéiert e Feeler, deen wéi en Authentifikatiounsproblem ausgesäit.

Wann de gespäicherte Geheimnis net de Problem ass

En FortiSSL-Profil kann och mat enger korrekt gespäicherter Authentifikatioun feelen, well de Client ni dem Gateway sengem Zertifikat vertraut. Dee Parameter ass net am Haaptdialog; en ass hannert den erweiderten Optiounen fir de VPN, wou den Digest vum vertraute Zertifikat ageet. Wann de Log den Zertifikat amplaz vum Passwuert nennt, sidd Dir an dësem Branche an et hëlleft keng Quantitéit un Ännerung vun [vpn-secrets].

Hei gehéieren nach zwou Kontrollen. Bestätegt, datt de Profil net aus enger Fichier importéiert gouf, déi nach op e Pad weist, deen de Plugin net ka liesen, a bestätegt, datt de Profil deen aktiven ass an net en iwwerflëssegen Duplikat. Béid produzéiere Aktivéierungsfeeler, déi wéi Authentifikatiounsfeeler liesen.

Entscheet, ob d'Späicheren akzeptabel ass

E gespäicherte PSK a Passwuert si liesbar fir alles, wat als root op där Maschinn leeft. Op enger Maschinn, déi Dir kontrolléiert, ass dat e vernünftegen Tausch fir e Service ouni Interface. Op engem gedeelten Host verdéngt et eng Diskussioun, well de Profil elo eng Authentifikatioun enthält, déi virdrun duerch de Desktop-Schlësselring geschützt war. Frot, wien soss op där Maschinn un root kënnt, ier Dir entscheet, net nodeems d'Ännerung um Plaz ass.

Wann d'Politik gespäichert VPN-Geheimnisser verbitt, schwächt de Profil net, fir eng cron-Aufgab ze schaffen. Fëllt d'Verbindung aus enger Sessioun mat engem Agent aus, oder benotzt en anere Mechanismus fir d'Automatiséierung.

Schlussendlech notéiert, wéi eng Profiler Geheimnisser droen, sou datt keen een ouni ze bemierken op e Laptop kopéiert. E Kommentar iwwer dem Geheimnis-Abschnitt mat dem Datum an dem Grond ass genuch, an en erspuert engem spéider eng onangenehm Iwwerpréiwung.