NetworkManager کو محفوظ VPN پاس ورڈ دکھانے سے روکیں
ہر بار پوچھیں، اسے کلیدی حلقے کے حوالے کریں یا صرف root کے لیے فائل رکھیں۔ ہر انتخاب کا خطرہ الگ ہے، اور پاس ورڈ کا جھنڈا اسی سے میل کھانا چاہیے۔
NetworkManager VPN پاس ورڈ رکھ سکتا ہے تاکہ کنکشن بغیر کسی کے ٹائپ کیے اٹھ جائے، اور وہ قدر ایڈیٹر یا nmcli --show-secrets کے ذریعے دوبارہ دکھا سکتا ہے۔ ملکیت کے تین ماڈل دستیاب ہیں، اور دکھانے کا رویہ صرف اس بات کی علامت ہے کہ آپ نے کون سا چنا۔ پہلے ماڈل چنیں، پھر اس سے میل کھاتا جھنڈا مقرر کریں، بجائے اس کے کہ کسی پلیس ہولڈر سے خانہ چھپائیں جو اگلے شخص کو الجھا دے۔
ملکیت کے تین ماڈل
پہلا ماڈل ہر بار پوچھتا ہے۔ کچھ محفوظ نہیں ہوتا، راز صرف فعال ہونے کی مدت تک رہتا ہے، اور جو بھی کنکشن شروع کرے اسے پاس ورڈ معلوم ہونا چاہیے۔ یہ سب سے کم سہولت والا انتخاب ہے اور دفاع کے لیے سب سے آسان۔
دوسرا راز کو صارف کی ملکیت والے کلیدی حلقے کے حوالے کرتا ہے۔ ایجنٹ سیشن شروع ہونے پر کھلتا ہے اور طلب پر قدر فراہم کرتا ہے، جس سے یہ کنکشن فائل سے باہر رہتا ہے مگر کنکشن کو اسی صارف کے سیشن سے باندھ دیتا ہے۔ اس سے دو شرطیں نکلتی ہیں: ایجنٹ چل رہا ہو، اور کھلا ہوا ہو۔
تیسرا نظامی کنکشن کے لیے محفوظ اسناد رکھتا ہے۔ یہ دوبارہ شروع ہونے کے بعد بھی قائم رہتا ہے اور کسی کے لاگ ان کرنے سے پہلے کام کرتا ہے، اور بدلے میں قدر ڈسک پر فائل اجازتوں سے محفوظ رہتی ہے، انکرپشن سے نہیں۔
ہر ماڈل درست سیاق میں مناسب ہے۔ غلطی انہیں ملانے میں ہے، اور اسی طرح لیپ ٹاپ میں راز دو جگہ رہ جاتا ہے اور یہ واضح جواب نہیں رہتا کہ کون سا مستند ہے۔ لکھیں کہ کوئی پروفائل کون سا ماڈل استعمال کرتا ہے۔ ٹیم کی گائیڈ میں ایک سطر اگلے شخص کو چوتھی تلاش کی جگہ ایجاد کرنے سے بچاتی ہے۔
تبدیلی سے پہلے موجودہ حالت پڑھیں
کنکشن سنبھالنے والے صارف کے طور پر پروفائل اور راز کی حالت دیکھیں۔ دوسرا حکم وہی ہے جو بتاتا ہے کہ قدر واقعی پڑھی جا سکتی ہے یا نہیں۔
nmcli connection show "Office VPN"
nmcli --show-secrets connection show "Office VPN"
sudo stat -c '%U %a %n' /etc/NetworkManager/system-connections/*.nmconnectionاس ڈائریکٹری کی کلید فائل عام طور پر root کی ملکیت میں موڈ 600 کے ساتھ ہوتی ہے۔ یہ عام صارفین کو باہر رکھتی ہے اور root کو باہر نہیں رکھتی، جو تب اہم ہے جب وہی مشین مشترک ہو یا بیک اپ root کے طور پر چلے۔
فائل اجازتیں ایک حد ہیں، انکرپشن نہیں۔ جو root کے طور پر فائل پڑھ سکتا ہے اس کے پاس پاس ورڈ صاف متن میں ہے۔ یہ بغیر نگرانی والے سرور کے لیے قابل قبول سودا ہے اور مشترکہ ورک سٹیشن کے لیے برا۔ ایک بار لکھ لینے سے اس بحث سے بچا جا سکتا ہے کہ قدر محفوظ ہے یا نہیں۔
ہر جھنڈے کی قدر کیا کرتی ہے
VPN راز میں flags نامی خصوصیت ہوتی ہے، اور قدریں صرف اعداد سے واضح نہیں ہوتیں۔
| Value | Meaning | Practical effect |
|---|---|---|
| 0 | No special flag | Secret is typically saved with the connection |
| 1 | Agent-owned | A keyring or secret agent supplies it |
| 2 | Not saved | Prompted at each activation |
| 4 | Not required | Connection proceeds without asking |
اصل رویہ پلگ ان اور اس بات پر بھی منحصر ہے کہ ایجنٹ چل رہا ہے یا نہیں، اس لیے جدول کو معاہدہ اور دیکھے گئے رویے کو وہ چیز سمجھیں جس کی آپ تصدیق کرتے ہیں۔ ایک ڈیسک ٹاپ پر کام کرنے والی قدر سیشن کے بغیر سرور پر مختلف برتاؤ کر سکتی ہے۔ الجھانے والے بیشتر ٹکٹ اسی خلا میں رہتے ہیں۔
سطر حذف کر کے امید رکھنے کے بجائے خصوصیت واضح طور پر مقرر کریں۔ غیر موجود جھنڈا کوئی پالیسی نہیں، اور اگلی پیکیج اپ ڈیٹ اسے کسی ایسی چیز سے بھر سکتی ہے جس کا آپ نے ارادہ نہیں کیا۔
ماڈل کو کنکشن کے شروع ہونے کے وقت سے ملائیں
اگر کنکشن صرف اس وقت شروع ہوتا ہے جب صارف لاگ ان ہو، تو ایجنٹ کی ملکیت اچھی طرح بیٹھتی ہے اور راز کو فائل سے باہر رکھتی ہے۔ اگر یہ بوٹ کے وقت، کسی سیشن سے پہلے شروع ہوتا ہے، تو ایجنٹ آپ کی مدد نہیں کر سکتا۔
زیادہ تر مشینوں کے لیے پورا فیصلہ یہی ہے۔ یہ الجھانے والی رپورٹوں کے ایک طبقے کی بھی وضاحت کرتا ہے جہاں کنکشن تعاملی طور پر کام کرتا ہے اور ری بوٹ کے بعد ناکام ہو جاتا ہے۔ جھنڈا کبھی نہیں بدلا؛ سیاق بدلا۔
بغیر نگرانی والے معاملے میں عملی جواب root کی ملکیت والی محدود فائل یا منظور شدہ اسناد کا ذریعہ ہے۔ اگر وہ پروفائل کبھی برآمد ہو یا کسی اور مشین پر نقل ہو تو اسے کنکشن پروفائل سے باہر رکھیں۔
اگر قدر پہلے ہی نظر آ چکی تھی تو اسے بدلیں
جھنڈا بدلنے سے پاس ورڈ خود کو کوئی نقصان نہیں پہنچتا۔ اسکرین شاٹ میں، shell کی تاریخ میں، سپورٹ کو بھیجے گئے بنڈل میں، یا ایسی فائل میں جسے دوسرے صارفین کھول سکتے تھے نمودار ہونے والی قدر کو افشا شدہ سمجھا جانا چاہیے۔
اسے سرور پر بدلیں، پھر کلائنٹ درست کریں اور پرانی قدر سے تصدیق شدہ کوئی بھی سیشن ختم کریں۔ مقامی کنکشن حذف کرنے سے دوسری طرف کچھ منسوخ نہیں ہوتا، اور لوگ یہی حصہ چھوڑ دیتے ہیں۔
پھر پاس ورڈ کمانڈ لائن پر رکھنا بند کریں۔ یہ shell کی تاریخ میں جاتا ہے اور پروسیس فہرست میں ظاہر ہو سکتا ہے؛ اس کے بجائے تعاملی پرامپٹ یا ایجنٹ استعمال کریں۔
دوبارہ منسلک ہو کر تصدیق کریں
جس حکم نے راز دکھایا اسے دہرائیں اور تصدیق کریں کہ خانہ اب چھپتا نہیں۔ پھر منقطع ہو کر دوبارہ منسلک ہوں، اور اگر کنکشن خودبخود شروع ہوتا ہے تو ری بوٹ کریں، کیونکہ دلچسپ خرابی صرف تب ظاہر ہوتی ہے جب سیشن کا سیاق بدلے۔
اگر راز اب بھی نظر آتا ہے تو کوئی اور پروفائل یا اور ایجنٹ اسے فراہم کر رہا ہے۔ فائلیں حذف کرنے کے بجائے فعال کنکشن اور کلیدی حلقہ چیک کریں، جب تک علامت نہ ہٹے۔