Wou soll Linux Äre VPN-Passwuert späicheren? Net am Profil
D'Geheimflags vum NetworkManager entscheeden, ob de Profil, e Schlësselring-Agent oder keen d'Passwuert hält. D'Äntwert hänkt dovun of, wéini d'Verbindung start.
D'VPN-Passwuert muss irgendwou liewen: am Verbindungsprofil, an engem Schlësselring, deen den Desktop opmécht, oder néierens. NetworkManager nennt dës Wiel e Geheimflag, an déi falsch ze wielen ass de Grond, firwat eng Verbindung no dem Login funktionéiert an als Service feelt. De Flag ass eng Zeil Konfiguratioun, an en entscheet, wat fir ee vun deenen dräi Resultater Dir kritt.
Dräi Flags decken bal all Fall of, an d'Entscheedung geet drëm, wéini d'Verbindung start.
Dräi Geheimflags, dräi Verhalen
E Flag vun 0 bedeit, datt d'Geheimnis mat der Verbindung gespäichert gëtt, an deem Späicher och ëmmer de Profil läit. E Flag vun 1 mécht et agenteneegen: d'Geheimnis kënnt vun engem Geheimagent wéi engem Desktop-Schlësselring, an NetworkManager freet et bei der Aktivéierung. E Flag vun 2 bedeit net gespäichert, also gëtt d'Geheimnis ni geschriwwen a muss all Kéier geliwwert ginn. De Flag 4 markéiert e Geheimnis als net néideg, fir Verbindungen, déi wierklech keng brauchen.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
Setzt d'Flags pro Geheimnis amplaz pro Verbindung. Eng Verbindung kann en agenteneegent Passwuert an eng gespäichert Privatschlëssel-Passphrase hunn.
Entscheet no deem, wéini d'Verbindung start
Wann en ageloggte Benotzer d'Verbindung start, ass agenteneegen déi vernünfteg Virstellung: de Schlësselring gëtt duerch de Login opgemaach a d'Geheimnis läit ni an enger Datei. Wann d'Verbindung erop muss, ier sech een agloggt, ass agenteneegen déi falsch Wiel, well et gëtt kee Sessiouns-Schlësselring opzemaachen.
Dat ass déi ganz Entscheedung. Alles anescht ass eng Variant dovun.
Fir en Service virum Login ass e systemwäite Späicher oder eng geschützte Schlësseldatei de unterstëtzte Muster, an Dateiberechtegungen ginn zum Schutz. Léist de Problem net, andeems Dir d'Passwuert an e Shell-Skript klept, dat beim Start leeft.
Wat de Schlësselring gëtt a wat net
E Schlësselring hält d'Geheimnis aus dem Verbindungsprofil eraus a bënnt et un eng Benotzersessioun. En mécht d'Geheimnis net fir e Service ouni Sessioun disponibel, an en verschlësselt näischt op der Leitung. Dat sinn getrennte Eegenschaften, déi d'Leit dacks vermëschen. Wat en awer keeft, ass e méi klengen Schuedradius, wann eng Profilsdatei leckt.
De Privatschlëssel, op deen de Profil verweist, brauch seng eege Berectegungen, onofhängeg dovun, wou d'Passwuert läit.
Diagnos ouni Geheimnisser ze schëdden
Verbindungsnimm, UUIDen a Flags si meeschtens genuch, fir e Feeler z'erklären. nmcli connection show listeiert de Profil op, an d'Geheimflags soen Iech, wouhier d'Passwuert sollt kommen.
Vermeit --show-secrets an Ticketen a Chat. Eemol ageklept, ass et en Authentifikatiounsdaten an enger Transkriptioun.
Späicheren ass net Widderruff
E Geheimnis aus engem Schlësselring ze huelen mécht den Authentifikatiounsdaten net ongülteg, deen den ausgelagerte Bedreiwer schonn acceptéiert huet. D'Kont-Widderruff ass eng Aktioun op der Serversäit, an déi lokal Späicherung ass eng getrennt Saach mat engem getrennten Eegentemer.
Entscheet béides virum Tëschefall, net während dem. Eng interaktiv Benotzerverbindung an e Service virum Login brauchen ënnerschiddlech Äntwerten, an e gedeelte Shell-Skript ass weder dat engt nach dat anert. Dem NetworkManager seng Dokumentatioun iwwer Geheimflags listeiert d'Wäerter komplett.