Kvar bør Linux lagre VPN-passordet ditt? Ikkje i profilen

VPN-passordet må bu ein stad: i tilkoplingsprofilen, i ein nøkkelring som skrivebordet låser opp, eller ingen stad. NetworkManager kallar det valet eit hemmeleikflagg, og det er derfor ei tilkopling verkar etter pålogging og feilar som teneste når ein vel det gale. Flagget er éi linje konfigurasjon, og det avgjer kva av dei tre utfalla du får.

Tre flagg dekkjer nesten alle tilfelle, og avgjerda handlar om når tilkoplinga startar.

Tre hemmeleikflagg, tre åtferdsmønster

Eit flagg på 0 tyder at hemmelegheita blir lagra saman med tilkoplinga, i kva lager profilen enn ligg. Eit flagg på 1 gjer henne agent-eigd: hemmelegheita kjem frå ein hemmelegheitsagent som ein skrivebordsnøkkelring, og NetworkManager spør etter henne ved aktivering. Eit flagg på 2 tyder ikkje lagra, så hemmelegheita blir aldri skriven og må oppgjevast kvar gong. Flagg 4 merkjer ei hemmelegheit som ikkje påkravd, for tilkoplingar som verkeleg ikkje treng noka.

Set flagga per hemmelegheit i staden for per tilkopling. Éi tilkopling kan ha eit agent-eigd passord og ein lagra privatnøkkelpassfrase.

Avgjer ut frå når tilkoplinga startar

Viss ein innlogga brukar startar tilkoplinga, er agent-eigd det fornuftige standardvalet: nøkkelringen blir låst opp ved pålogging, og hemmelegheita ligg aldri i ei fil. Viss tilkoplinga må opp før nokon loggar inn, er agent-eigd det gale valet, fordi det finst ingen sesjonsnøkkelring å låse opp.

Det er heile avgjerda. Alt anna er ein variant av henne.

For ei teneste før pålogging er eit systemomfattande lager eller ei verna nøkkelfil det støtta mønsteret, og filrettar blir vernet. Ikkje løys problemet ved å lime passordet inn i eit skalskript som køyrer ved oppstart.

Kva nøkkelringen gir, og kva han ikkje gir

Ein nøkkelring held hemmelegheita utanfor tilkoplingsprofilen og bind henne til ein brukarsesjon. Han gjer ikkje hemmelegheita tilgjengeleg for ei teneste utan sesjon, og han krypterer ingenting på linja. Dette er skilde eigenskapar som folk ofte blandar saman. Det han faktisk kjøper, er ein mindre skaderadius når ei profilfil lek.

Den private nøkkelen som profilen viser til, treng eigne rettar, uavhengig av kvar passordet bur.

Diagnostikk utan å dumpe hemmelegheiter

Tilkoplingsnamn, UUID-ar og flagg er vanlegvis nok til å forklare ein feil. nmcli connection show listar profilen, og hemmeleikflagga fortel deg kvar passordet skulle kome frå.

Unngå --show-secrets i saker og chat. Når det først er lima inn, er det ein legitimasjon i ein utskrift.

Lagring er ikkje tilbakekalling

Å fjerne ei hemmelegheit frå ein nøkkelring gjer ikkje legitimasjonen ugyldig som fjernoperatøren allereie har godteke. Tilbakekalling av ein konto er ei handling på serversida, og lokal lagring er ei eiga sak med ein eigen eigar.

Avgjer begge delar før hendinga, ikkje under henne. Ei interaktiv brukartilkopling og ei teneste før pålogging treng ulike svar, og eit delt skalskript er ingen av delane. NetworkManagers dokumentasjon om hemmeleikflagg listar verdiane fullt ut.