Каде Linux треба да ја чува вашата VPN лозинка? Не во профилот
Прапорчињата за тајни во NetworkManager одлучуваат дали лозинката ја чува профилот, агент на приврзок со клучеви или никој. Одговорот зависи од тоа кога започнува врската.
VPN лозинката мора некаде да живее: во профилот на врската, во приврзок со клучеви што работната површина го отклучува, или никаде. NetworkManager го нарекува тој избор прапорче за тајна, и изборот на погрешното е причината зошто врската работи по најавувањето, а како услуга не успева. Прапорчето е една линија конфигурација, и одлучува кој од тие три исходи ќе го добиете.
Три прапорчиња покриваат речиси секој случај, а одлуката е за тоа кога започнува врската.
Три прапорчиња за тајни, три однесувања
Прапорче 0 значи дека тајната се чува со врската, во кое и да е складиште што го држи профилот. Прапорче 1 го прави сопственост на агент: тајната доаѓа од агент за тајни, како приврзок со клучеви на работната површина, и NetworkManager го бара при активирање. Прапорче 2 значи незачувано, па тајната никогаш не се запишува и мора да се достави секој пат. Прапорче 4 означува тајна како непотребна, за врски на кои навистина не им треба ниту една.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
Поставете ги прапорчињата по тајна, а не по врска. Една врска може да има лозинка сопственост на агент и зачувана фраза за приватниот клуч.
Одлучете според тоа кога започнува врската
Ако врската ја започнува најавен корисник, сопственоста на агент е разумното стандардно поставување: приврзокот со клучеви се отклучува при најавувањето и тајната никогаш не лежи во датотека. Ако врската мора да се подигне пред било кој да се најави, сопственоста на агент е погрешен избор, затоа што нема приврзок со клучеви на сесијата што би се отклучил.
Тоа е целата одлука. Сето друго е нејзина варијанта.
За услуга пред најавување, поддржаниот образец е складиште на системско ниво или заштитена датотека со клуч, а заштита стануваат дозволите на датотеката. Не го решавајте проблемот со вметнување на лозинката во shell-скрипта што се извршува при подигање.
Што дава приврзокот со клучеви, а што не
Приврзокот со клучеви ја држи тајната надвор од профилот на врската и ја врзува за корисничка сесија. Не ја прави тајната достапна на услуга без сесија и не шифрира ништо на мрежата. Тоа се одделни својства што луѓето често ги спојуваат. Што навистина дава е помал радиус на штета кога ќе истече профилна датотека.
Приватниот клуч на кој упатува профилот бара свои дозволи, независно од тоа каде живее лозинката.
Дијагностика без истурање тајни
Имињата на врските, UUID и прапорчињата обично се доволни за да се објасни дефект. nmcli connection show го наведува профилот, а прапорчињата за тајни ви кажуваат од каде лозинката требаше да дојде.
Избегнувајте --show-secrets во тикети и чет. Откако еднаш е вметнато, тоа се пристапни податоци во транскрипт.
Складирањето не е отповикување
Отстранувањето на тајна од еден приврзок со клучеви не ги поништува пристапните податоци што далечинскиот оператор веќе ги прифатил. Отповикувањето на сметка е дејство на страната на серверот, а локалното складирање е одделно прашање со одделен сопственик.
Одлучете за двете пред инцидентот, а не за време на него. Интерактивна корисничка врска и услуга пред најавување бараат различни одговори, а заедничка shell-скрипта не е ниту едното. Документацијата на NetworkManager за прапорчињата за тајни ги наведува вредностите целосно.