Pigilan ang NetworkManager sa pagpapakita ng naka-save na VPN password
Itanong sa bawat pagkakataon, ibigay sa keyring o magtabi ng file para sa root lang. Bawat pagpipilian ay may ibang pagkakalantad, at ang flag ng password ay dapat tumugma rito.
Maaaring magtabi ang NetworkManager ng VPN password para umangat ang koneksyon nang walang nagta-type nito, at maaari nitong ipakita muli ang halagang iyon sa editor o sa pamamagitan ng nmcli --show-secrets. May tatlong modelo ng pagmamay-ari, at ang pag-uugali sa pagpapakita ay sintomas lamang ng napili mo. Piliin muna ang modelo, pagkatapos itakda ang flag na tumutugma rito, sa halip na itago ang isang field gamit ang placeholder na makakalito sa susunod na tao.
Tatlong modelo ng pagmamay-ari
Ang unang modelo ay nagtatanong sa bawat pagkakataon. Walang naka-save, ang sikreto ay umiiral lamang habang nagaganap ang activation, at sinumang magsisimula ng koneksyon ay kailangang malaman ang password. Ito ang pinakamababang kaginhawahan at pinakamadaling ipagtanggol.
Ang ikalawa ay nagbibigay ng sikreto sa keyring na pag-aari ng user. Nagbubukas ang agent kapag nagsimula ang session at naghahatid ng halaga kapag hiniling, na nagpapanatili nito sa labas ng file ng koneksyon ngunit nagbibigkis sa koneksyon sa session ng user na iyon. May dalawang kundisyong kasunod: kailangang tumatakbo ang agent, at kailangan itong nakabukas.
Ang ikatlo ay nag-iimbak ng protektadong kredensyal para sa koneksyon ng system. Nakakalampas ito sa mga reboot at gumagana bago pa mag-log in ang sinuman, at kapalit nito, ang halaga ay nasa disk na pinoprotektahan ng mga permiso ng file, hindi ng encryption.
Ang bawat modelo ay makatwiran sa tamang konteksto. Ang pagkakamali ay ang paghahalo ng mga ito, at ganoon na lamang natatapos ang isang laptop na may sikreto sa dalawang lugar at walang malinaw na sagot kung alin ang awtoritatibo. Isulat kung aling modelo ang ginagamit ng isang profile. Ang isang linya sa runbook ng team ay nagliligtas sa susunod na tao mula sa pag-imbento ng ikaapat na lugar na titingnan.
Basahin ang kasalukuyang estado bago ito baguhin
Tingnan ang profile at ang estado ng sikreto bilang user na namamahala ng koneksyon. Ang ikalawang utos ang nagsasabi kung talagang nababasa ang halaga.
nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnectionAng key file sa direktoryong iyon ay karaniwang pag-aari ng root na may mode 600. Inilalabas nito ang mga ordinaryong user at hindi inilalabas ang root, na mahalaga kapag ang parehong makina ay pinagsasaluhan o kapag ang backup ay tumatakbo bilang root.
Ang mga permiso ng file ay hangganan, hindi encryption. Sinumang makabasa ng file bilang root ay may password sa plaintext. Katanggap-tanggap na kalakalan ito para sa server na walang pagmamatyag at masama para sa pinagsasaluhang workstation. Ang isulat ito nang isang beses ay pumipigil sa mahabang pagtatalo tungkol sa kung protektado ang halaga.
Ano ang ginagawa ng bawat halaga ng flag
Ang sikreto ng VPN ay may property na flags, at ang mga halaga ay hindi halata mula sa mga numero lamang.
| Value | Meaning | Practical effect |
|---|---|---|
| 0 | No special flag | Secret is typically saved with the connection |
| 1 | Agent-owned | A keyring or secret agent supplies it |
| 2 | Not saved | Prompted at each activation |
| 4 | Not required | Connection proceeds without asking |
Ang aktwal na pag-uugali ay nakadepende rin sa plugin at sa kung may tumatakbong agent, kaya ituring ang talahanayan bilang kontrata at ang naobserbahang pag-uugali bilang ang bagay na bini-verify mo. Ang halagang gumagana sa isang desktop ay maaaring kumilos nang iba sa server na walang session. Nasa agwat na ito ang karamihan ng nakakalitong ticket.
Itakda ang property nang tahasan sa halip na magbura ng linya at umasa. Ang nawawalang flag ay hindi patakaran, at maaaring punan ito ng susunod na update ng package ng isang bagay na hindi mo sinadya.
Itugma ang modelo sa oras na nagsisimula ang koneksyon
Kung ang koneksyon ay nagsisimula lamang habang naka-log in ang isang user, bagay ang pagmamay-ari ng agent at pinapanatili nitong labas ng file ang sikreto. Kung nagsisimula ito sa boot, bago pa umiral ang anumang session, hindi ka matutulungan ng agent.
Iyon ang buong pasya para sa karamihan ng makina. Ipinapaliwanag din nito ang isang uri ng nakakalitong ulat kung saan gumagana ang koneksyon nang interactive at nabibigo pagkatapos ng reboot. Hindi kailanman nagbago ang flag; ang konteksto ang nagbago.
Para sa kasong walang pagmamatyag, ang praktikal na sagot ay isang limitadong file na pag-aari ng root o isang aprubadong pinagmumulan ng kredensyal. Ilayo ito sa profile ng koneksyon kung ang profile na iyon ay ie-export o kokopyahin sa ibang makina.
Kung ang halaga ay nakita na, palitan ito
Ang pagbabago ng flag ay hindi hinahawakan ang password mismo. Ang halagang lumitaw sa screenshot, sa kasaysayan ng shell, sa bundle na ipinadala sa support, o sa file na mabubuksan ng ibang user ay dapat ituring na isiniwalat.
Palitan ito sa server, pagkatapos ayusin ang client at wakasan ang anumang session na nagpatotoo gamit ang luma. Ang pagbura ng lokal na koneksyon ay walang binabawi sa kabilang panig, at iyon ang bahaging madalas palampasin.
Pagkatapos, itigil ang paglalagay ng password sa command line. Napupunta ito sa kasaysayan ng shell at maaaring lumitaw sa listahan ng proseso; gamitin ang interactive na prompt o ang agent sa halip.
I-verify sa pamamagitan ng muling pagkonekta
Ulitin ang utos na nagpakita ng sikreto at tiyaking hindi na ito naka-print. Pagkatapos ay idiskonekta at muling kumonekta, at i-reboot kung kusang nagsisimula ang koneksyon, dahil lumilitaw lamang ang kawili-wiling pagkasira kapag nagbago ang konteksto ng session.
Kung lumilitaw pa rin ang sikreto, ibang profile o ibang agent ang naghahatid nito. Suriin ang aktibong koneksyon at ang keyring sa halip na magbura ng mga file hanggang lumipat ang sintomas.