Ndaloni NetworkManager të shfaqë një fjalëkalim VPN të ruajtur

NetworkManager mund të mbajë një fjalëkalim VPN që lidhja të ngrihet pa e shtypur askush, dhe mund ta shfaqë përsëri atë vlerë përmes redaktuesit ose përmes nmcli --show-secrets. Ka tre modele pronësie, dhe sjellja e shfaqjes është vetëm një simptom i asaj që keni zgjedhur. Zgjidhni fillimisht modelin, pastaj vendosni flamurin që i përshtatet, në vend që të fshihni një fushë me një mbajtës vendi që do të ngatërrojë personin tjetër.

Tre modele pronësie

Modeli i parë pyet çdo herë. Asgjë nuk ruhet, sekreti ekziston vetëm gjatë aktivizimit, dhe kushdo që nis lidhjen duhet ta dijë fjalëkalimin. Është opsioni më pak i rehatshëm dhe më i lehti për t’u mbrojtur.

I dyti ia jep sekretin një vargu çelësash në pronësi të përdoruesit. Agjenti hapet kur fillon sesioni dhe e furnizon vlerën sipas kërkesës, gjë që e mban jashtë skedarit të lidhjes, por e lidh lidhjen me sesionin e atij përdoruesi. Nga kjo rrjedhin dy kushte: agjenti duhet të jetë duke punuar dhe duhet të jetë i hapur.

I treti ruan një kredencial të mbrojtur për një lidhje sistemi. I mbijeton rinisjeve dhe punon përpara se dikush të hyjë, dhe në këmbim vlera qëndron në disk e mbrojtur nga lejet e skedarit, jo nga kriptimi.

Çdo model është i arsyeshëm në kontekstin e duhur. Gabimi është t’i përziesh, dhe kështu një laptop përfundon me një sekret në dy vende dhe pa një përgjigje të qartë se cili është autoritativ. Shkruani cilin model përdor një profil. Një rresht në manualin e ekipit i kursen personit tjetër shpikjen e një vendi të katërt për të kërkuar.

Lexoni gjendjen aktuale përpara se ta ndryshoni

Shikoni profilin dhe gjendjen e sekretit si përdoruesi që administron lidhjen. Komanda e dytë është ajo që ju thotë nëse vlera lexohet vërtet.

nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnection

Një skedar çelësi në atë drejtori zakonisht zotërohet nga root me modalitetin 600. Kjo i mban jashtë përdoruesit e zakonshëm dhe nuk e mban jashtë root, gjë që ka rëndësi kur e njëjta makinë ndahet ose kur një kopje rezervë ekzekutohet si root.

Lejet e skedarit janë një kufi, jo kriptim. Kushdo që mund ta lexojë skedarin si root e ka fjalëkalimin në tekst të thjeshtë. Ky është një shkëmbim i pranueshëm për një server pa mbikëqyrje dhe i keq për një stacion pune të ndarë. Ta shkruash një herë parandalon një debat të gjatë nëse vlera është e mbrojtur.

Çfarë bën çdo vlerë flamuri

Sekreti VPN mban një veti flags, dhe vlerat nuk janë të dukshme vetëm nga numrat.

Sjellja efektive varet edhe nga shtojca dhe nga fakti nëse një agjent është duke punuar, prandaj trajtojeni tabelën si kontratën dhe sjelljen e vëzhguar si atë që verifikoni. Një vlerë që punon në një desktop mund të sillet ndryshe në një server pa sesion. Pikërisht në këtë hendek jetojnë shumica e tiketave ngatërruese.

Vendosni vetinë në mënyrë eksplicite në vend që të fshini një rresht dhe të shpresoni. Një flamur që mungon nuk është politikë, dhe përditësimi i ardhshëm i paketës mund ta plotësojë me diçka që nuk e kishit ndërmend.

Përputhni modelin me momentin kur nis lidhja

Nëse lidhja nis vetëm ndërsa një përdorues është i hyrë, pronësia nga agjenti përshtatet mirë dhe e mban sekretin jashtë skedarit. Nëse nis gjatë nisjes së sistemit, përpara se të ekzistojë ndonjë sesion, një agjent nuk mund t’ju ndihmojë.

Ky është i gjithë vendimi për shumicën e makinave. Kjo shpjegon gjithashtu një klasë raportesh ngatërruese ku lidhja punon në mënyrë interaktive dhe dështon pas një rinisjeje. Flamuri nuk ndryshoi kurrë; konteksti ndryshoi.

Për rastin pa mbikëqyrje, përgjigja praktike është një skedar i kufizuar në pronësi të root ose një burim i miratuar kredencialesh. Mbajeni jashtë profilit të lidhjes nëse ai profil ndonjëherë eksportohet ose kopjohet në një makinë tjetër.

Nëse vlera ishte tashmë e dukshme, ndërrojeni

Ndryshimi i një flamuri e lë vetë fjalëkalimin të paprekur. Një vlerë që u shfaq në një pamje ekrani, në historikun e shell, në një paketë të dërguar te mbështetja ose në një skedar që përdoruesit e tjerë mund ta hapnin duhet të konsiderohet e zbuluar.

Ndryshojeni në server, më pas rregulloni klientin dhe përfundoni çdo sesion që u vërtetua me atë të vjetër. Fshirja e lidhjes lokale nuk anulon asgjë në anën tjetër, dhe kjo është pjesa që njerëzit e anashkalojnë.

Pastaj ndaloni së vendosuri fjalëkalimin në rreshtin e komandës. Ai përfundon në historikun e shell dhe mund të shfaqet në një listë procesesh; përdorni kërkesën interaktive ose agjentin.

Verifikoni duke u rilidhur

Përsëritni komandën që shfaqi sekretin dhe konfirmoni që fusha nuk printohet më. Më pas shkëputuni dhe rilidhuni, dhe rinisni nëse lidhja nis automatikisht, sepse dështimi interesant shfaqet vetëm kur ndryshon konteksti i sesionit.

Nëse sekreti shfaqet ende, e furnizon një profil tjetër ose një agjent tjetër. Inspektoni lidhjen aktive dhe vargun e çelësave në vend që të fshini skedarë derisa simptoma të lëvizë.