Ku duhet ta ruajë Linux fjalëkalimin tuaj të VPN-së? Jo në profil
Flamujt e sekretit të NetworkManager vendosin nëse fjalëkalimin e mban profili, një agjent i unazës së çelësave apo askush. Përgjigja varet nga koha kur nis lidhja.
Fjalëkalimi i VPN-së duhet të jetojë diku: në profilin e lidhjes, në një unazë çelësash që e shkyç desktopi, ose askund. NetworkManager e quan këtë zgjedhje flamur sekreti, dhe zgjedhja e gabuar është arsyeja pse një lidhje punon pas identifikimit dhe dështon si shërbim. Flamuri është një rresht konfigurimi, dhe vendos se cilin nga këto tre rezultate merrni.
Tre flamuj mbulojnë pothuajse çdo rast, dhe vendimi ka të bëjë me kohën kur nis lidhja.
Tre flamuj sekreti, tre sjellje
Një flamur 0 do të thotë që sekreti ruhet bashkë me lidhjen, në çfarëdo vendruajtjeje që mban profilin. Një flamur 1 e bën atë pronë të agjentit: sekreti vjen nga një agjent sekreti si unaza e çelësave e desktopit, dhe NetworkManager e kërkon gjatë aktivizimit. Një flamur 2 do të thotë i paruajtur, kështu që sekreti nuk shkruhet kurrë dhe duhet dhënë çdo herë. Flamuri 4 e shënon një sekret si të panevojshëm, për lidhjet që vërtet nuk kanë nevojë për asnjë.
| Flag | Where it lives | Works unattended |
|---|---|---|
| 0 saved | Connection profile | Yes, if the store is readable |
| 1 agent-owned | Secret agent or keyring | Only if that agent is available |
| 2 not-saved | Nowhere | No |
Vendosni flamujt për çdo sekret, jo për çdo lidhje. Një lidhje mund të ketë një fjalëkalim në pronësi të agjentit dhe një frazë kalimi të çelësit privat të ruajtur.
Vendosni sipas kohës kur nis lidhja
Nëse lidhjen e nis një përdorues i identifikuar, pronësia e agjentit është parazgjedhja e arsyeshme: unaza e çelësave shkyçet nga identifikimi dhe sekreti nuk qëndron kurrë në një skedar. Nëse lidhja duhet të ngrihet përpara se dikush të identifikohet, pronësia e agjentit është zgjedhja e gabuar, sepse nuk ka unazë çelësash sesioni për të shkyçur.
Ky është i gjithë vendimi. Çdo gjë tjetër është një variant i tij.
Për një shërbim para identifikimit, modeli i mbështetur është një vendruajtje në nivel sistemi ose një skedar çelësi i mbrojtur, dhe lejet e skedarit bëhen mbrojtja. Mos e zgjidhni problemin duke e ngjitur fjalëkalimin në një skript shell që ekzekutohet në nisje.
Çfarë jep unaza e çelësave dhe çfarë nuk jep
Një unazë çelësash e mban sekretin jashtë profilit të lidhjes dhe e lidh me një sesion përdoruesi. Nuk e bën sekretin të disponueshëm për një shërbim pa sesion, dhe nuk kripton asgjë në rrjet. Këto janë veti të veçanta që njerëzit shpesh i bashkojnë. Ajo që vërtet blen është një rreze dëmi më e vogël kur një skedar profili rrjedh.
Çelësi privat të cilin profili e referon ka nevojë për lejet e veta, pavarësisht se ku jeton fjalëkalimi.
Diagnostikim pa derdhur sekrete
Emrat e lidhjeve, UUID-të dhe flamujt zakonisht mjaftojnë për të shpjeguar një dështim. nmcli connection show rendit profilin, dhe flamujt e sekretit ju tregojnë nga duhej të vinte fjalëkalimi.
Shmangni --show-secrets në bileta dhe chat. Pasi ngjitet një herë, është një kredenciale në një transkript.
Ruajtja nuk është revokim
Heqja e një sekreti nga një unazë çelësash nuk e anulon kredencialin që operatori në distancë ka pranuar tashmë. Revokimi i llogarisë është veprim në anën e serverit, dhe ruajtja lokale është çështje më vete me pronar më vete.
Vendosni për të dyja përpara incidentit, jo gjatë tij. Një lidhje interaktive përdoruesi dhe një shërbim para identifikimit kërkojnë përgjigje të ndryshme, dhe një skript shell i përbashkët nuk është asnjëra. Dokumentacioni i NetworkManager për flamujt e sekretit rendit vlerat plotësisht.