Kur Linux būtu jāglabā jūsu VPN parole? Nevis profilā
NetworkManager slepeno karodziņu vērtības nosaka, vai paroli glabā profils, atslēgu saiņa aģents vai neviens. Atbilde ir atkarīga no tā, kad savienojums sākas.
VPN parolei kaut kur jādzīvo: savienojuma profilā, atslēgu saiņos, ko atslēdz darbvirsma, vai nekur. NetworkManager šo izvēli sauc par slepeno karodziņu, un nepareizā izvēle ir iemesls, kāpēc savienojums strādā pēc pieteikšanās un neizdodas kā pakalpojums. Karodziņš ir viena konfigurācijas rinda, un tas nosaka, kuru no šiem trim iznākumiem jūs iegūsiet.
Trīs karodziņi aptver gandrīz visus gadījumus, un lēmums ir par to, kad savienojums sākas.
Trīs slepenie karodziņi, trīs uzvedības
Karodziņš 0 nozīmē, ka noslēpums tiek saglabāts kopā ar savienojumu, jebkurā krātuvē, kur atrodas profils. Karodziņš 1 padara to par aģenta īpašumu: noslēpums nāk no slepenā aģenta, piemēram, darbvirsmas atslēgu saiņa, un NetworkManager to pieprasa aktivizēšanas laikā. Karodziņš 2 nozīmē nav saglabāts, tāpēc noslēpums nekad netiek ierakstīts un tas jāsniedz katru reizi. Karodziņš 4 atzīmē noslēpumu kā neprasītu savienojumiem, kuriem tiešām nevajag nevienu.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
Iestatiet karodziņus katram noslēpumam, nevis savienojumam. Vienam savienojumam var būt aģentam piederoša parole un saglabāta privātās atslēgas parole.
Izlemiet pēc tā, kad savienojums sākas
Ja savienojumu sāk pieteicies lietotājs, aģenta īpašums ir saprātīga noklusējuma vērtība: atslēgu saiņi tiek atslēgti ar pieteikšanos, un noslēpums nekad neguļ failā. Ja savienojumam jāceļas pirms kāds piesakās, aģenta īpašums ir nepareizā izvēle, jo nav sesijas atslēgu saiņa, ko atslēgt.
Tas ir viss lēmums. Viss pārējais ir tā variants.
Pakalpojumam pirms pieteikšanās atbalstītais modelis ir sistēmas līmeņa krātuve vai aizsargāts atslēgas fails, un par aizsardzību kļūst faila atļaujas. Nerisiniet problēmu, ielīmējot paroli čaulas skriptā, kas darbojas palaišanas laikā.
Ko atslēgu saiņi dod un ko ne
Atslēgu saiņi tur noslēpumu ārpus savienojuma profila un saista to ar lietotāja sesiju. Tie nepadara noslēpumu pieejamu pakalpojumam bez sesijas un nešifrē neko tīklā. Tās ir atsevišķas īpašības, ko cilvēki bieži sajauc. Ko tie tiešām dod, ir mazāks bojājumu rādiuss, kad noplūst profila fails.
Privātajai atslēgai, uz kuru atsaucas profils, vajadzīgas savas atļaujas, neatkarīgi no tā, kur dzīvo parole.
Diagnostika, neizlejot noslēpumus
Savienojumu nosaukumi, UUID un karodziņi parasti ir pietiekami, lai izskaidrotu kļūmi. nmcli connection show uzskaita profilu, un slepenie karodziņi pasaka, no kurienes parolei bija jānāk.
Izvairieties --show-secrets biļetēs un tērzēšanā. Kad tas vienreiz ielīmēts, tas ir akreditācijas dati transkriptā.
Glabāšana nav atsaukšana
Noslēpuma noņemšana no viena atslēgu saiņa neatceļ akreditācijas datus, ko attālinātais operators jau ir pieņēmis. Konta atsaukšana ir darbība servera pusē, un vietējā glabāšana ir atsevišķs jautājums ar atsevišķu īpašnieku.
Izlemiet abus pirms incidenta, nevis tā laikā. Interaktīvs lietotāja savienojums un pakalpojums pirms pieteikšanās prasa dažādas atbildes, un kopīgs čaulas skripts nav ne viens, ne otrs. NetworkManager slepeno karodziņu dokumentācija uzskaita vērtības pilnībā.