Kodėl paleidimo metu startuojanti VPN paslauga negali perskaityti jūsų raktų saugyklos
Paleidimo metu VPN neturi atrakintos slaptųjų duomenų agentūros, iš kurios galėtų pasiskolinti. Perskaitykite ryšio slaptąsias vėliavėles prieš nustatydami iš naujo slaptažodį, kurio serveris niekada neatmetė.
Ryšys, kuris veikia po prisijungimo, o prieš jį nepavyksta, paprastai reiškia, kad paleidimo bandymas negalėjo gauti slaptosios reikšmės, o ne tai, kad serveris ją atmetė. Kredencialas egzistuoja; kontekstas, kuris jo prašo, ne. Šis vienintelis skirtumas sutaupo nereikalingą slaptažodžio nustatymą iš naujo.
Sekite užklausą: kažkas paleidžia ryšį dar neegzistuojant darbalaukio sesijai, o slaptųjų reikšmių saugykla, kuri paprastai atsako, dar neatrakinta. Du kontekstai nesutaria, kam priklauso slaptoji reikšmė, o profilis užrašo, kurio iš jų tikimasi, kad ją pateiks.
Ko iš tikrųjų prašo paleidimo kelias
Paleidimo metu NetworkManager startuoja kaip sistemos tarnyba be vartotojo sesijos, be sesijos D-Bus ir be atrakintos raktų saugyklos. Ryšio profilį vis tiek galima iškelti, bet tik su slaptosiomis reikšmėmis, kurias tarnyba gali pasiekti pati. Viskas, kas priklauso slaptųjų reikšmių agentui, laukia, kol žmogus prisijungs ir agentas pasirodys. Tarnyba daro būtent tai, ką sako jos konfigūracija; keisti reikia profilį.
Gedimas įrašytas pačiame ryšyje, o ne paslėptas raktų saugykloje.
Ryšio slaptųjų vėliavėlių skaitymas
Klauskite ryšio, ko jis tikisi, o ne ką prisimena darbalaukis. Vėliavėlių stulpelis atsako į klausimą tiesiogiai, ir jis išlieka po perkrovimų profilio faile diske.
Pradėkite nuo profilių sąrašo, tada patvirtinkite, kuris ryšys nustatytas keltis savarankiškai. Tada išveskite vieną ryšį ir perskaitykite slaptažodžio vėliavėles:
nmcli -f NAME,UUID,TYPE,AUTOCONNECT connection show nmcli connection show "Work VPN" | grep -i -E "password|secret|key" journalctl -b -u NetworkManager --grep "secret"
Pirmoji komanda patvirtina, kurie profiliai egzistuoja ir ar vienas nustatytas automatiniam prisijungimui, būtent taip ir prasideda nepriežiūros bandymas. Antroji atskleidžia vėliavėlių reikšmes, o trečioji parodo tarnybą skundžiantis, kad joks agentas neatsakė už nurodytą slaptąją reikšmę. Žurnalo eilutė, įvardijanti slaptąją reikšmę kaip agento nuosavybę, yra visa diagnozė vienu sakiniu.
| Flag value | Where the secret lives | Behaviour before login |
|---|---|---|
| 0 | Stored in the connection profile | Available to the system service |
| 1 | Owned by a secret agent | Blocks until the agent is unlocked |
| 2 | Never stored | Prompts on every activation |
| 4 | Not required | Never requested at all |
Kodėl ryšio perkėlimas į sistemos sritį pakeičia atsakymą
Vartotojui priklausantis ryšys aktyvuojamas pagal to vartotojo agentą, todėl jis puikiai veikia vos darbalaukiui iškilus. Perkėlus jį į sistemos sritį agentas pašalinamas iš kelio, todėl tas pats profilis elgiasi kitaip nepakeitus nė vienos VPN konfigūracijos eilutės.
Toks perkėlimas yra teisėta konstrukcija ir neša reikalavimą: slaptoji reikšmė turi būti pasiekiama sistemos tarnybai. Jos saugojimas profilyje, pateikimas per sistemos srities kredencialą arba interaktyvaus raginimo priėmimas tinkamu momentu yra visi galiojantys atsakymai. Palikti 1 vėliavėlę ir tikėtis — ne.
Privatus raktas su savo slaptąja fraze prideda antrą sluoksnį. Net išsaugotas paskyros slaptažodis neatrakins rakto, kuriam reikia slaptosios frazės, todėl prieš ką nors keisdami patikrinkite, kokios slaptosios reikšmės iš tikrųjų prašo nepavykstantis etapas.
Ko nedaryti ir ką daryti vietoj to
Padaryti kiekvieną kredencialų failą skaitomą visiems arba išjungti autentifikavimą, kad raginimo nereikėtų, maino paleidimo nepatogumą į nuolatinį atvirumą. Abu taip pat slepia priklausomybę, o ne ją sprendžia, ir kitas atvaizdžio atnaujinimas grąžina tą patį gedimą.
Tame etape naudokite mechanizmą, kurį jūsų distribucija dokumentuoja nepriežiūros aktyvavimui, tada patvirtinkite, kad profilio vėliavėlės jį atitinka. Patikrinkite rezultatą iš švaraus paleidimo, o ne iš apvalkalo, kuris jau turi agentą. Užsirašykite ryšio savininką, slaptosios reikšmės šaltinį ir etapą, kuris turi veikti, kad vėlesnis automatinio paleidimo pakeitimas negalėtų tyliai sugrąžinti priklausomybės nuo to, kad kas nors pirmiau atrakintų darbalaukį. Dokumentacija yra skirtumas tarp sutaisytos tarnybos ir tos, kuri vėl sulūš kitą ketvirtį.
Testuokite iš kontroliuojamo švaraus paleidimo, o ne rankinio pakartotinio bandymo po prisijungimo. Pakartotinis bandymas pavyksta dėl tos priežasties, dėl kurios nepavyko paleidimo bandymas, ir būtent tuos įrodymus sunaikina greitas testas.