☰

关于“所有用户都可以连接到该网络”

tag-icon • tag-icon linux networkmanager 802.1x eduroam
关于“所有用户都可以连接到该网络”

我是一所大学的学生，该大学拥有 eduroam（一种 WPA2 企业无线网络）。在我的帐户上，这是使用 NetworkManager 配置的。这是以下概述nm-connection-editor：

在此输入图像描述 在此输入图像描述

我通过“所有用户都可以连接到此网络”来标记这是系统连接。实际上，这是行不通的：

  • 当我自动登录到 Awesome WM 会话时，我的（GNOME？）密钥环未解锁。它在尝试连接之前询问我的密码。这很烦人，无论如何我的磁盘都是加密的。所以我想将密码存储为root，可以这么说。

  • 当我使用 KDE 登录另一个帐户时，该连接不起作用。

所以我认为这里有两个潜在的问题：

  1. 证书文件位于我的主目录中。其他用户帐户无法读取我的主目录。如果我将该证书移动到一个中心位置（就像/usr/share/我猜的那样？），其他帐户可以使用它，因为该证书将不再丢失。

  2. 密码存储在我的主目录中的本地密钥环中。密码必须在系统范围内存储。

反正我没有看到任何配置文件。从何而来我读，NetworkManager 将其数据存储在通过 D-Bus 与之通信的某些服务中。因此数据被存储某处。

我怎样才能使它成为一个系统范围的配置，自动为系统的每个用户工作？

如果值得关注的话，发行版是 Fedora 24。

答案1

用于连接到教育漫游，（一个全球 Wifi 网络学术联盟，用户可以在机构/联盟之间漫游），您将需要进行设置wpa_supplicant。

说明和文件通常可能针对教师和/或顶级 EDUROAM 国家/地区级别有一定的针对性。所以我将链接到一个德语页面，其中包含 EDUROAM 设置802.1X在DE联邦。

你的/etc/wpa_supplicant.conf应该是类似这样的：

网络={
ssid="eduroam"
key_mgmt=WPA-EAP
eap=TTLS
身份="[电子邮件受保护]" # 您的登录名
domain_suffix_match="radius.lrz.de" # 您的本地RADIUS 服务器
subject_match="radius.lrz.de" # 您的本地RADIUS 服务器
anonymous_identity="[电子邮件受保护]" # 您的登录名，或匿名通用登录名
password="XXXX" # 您的密码 ca_cert="/etc/ssl/certs/Deutsche_Telekom_Root_CA_2.pem"
stage2="auth=PAP"
}

domain_suffix_match是否subject_match出于安全原因 - 例如，确保您连接到真正的 RADIUS 服务器，而不是欺骗的服务器。如果您不知道本地 RADIUS 服务器的名称，请尝试wpa_supplicant在没有这两个指令的情况下进行工作。

您可能还拥有一个自动安装程序猫（eduroam 配置助手工具）您的教师设置，这可能对您有帮助，也可能没有帮助。 （前提是教师已创建 CAT 页面）

请咨询您所在院系的当地 RADIUS/EDUROAM 常驻专家，了解更多详细信息。

免责声明：我是某教员的 RADIUS/EDUROAM 维护者，并且自由半径的顾问PT联合会。

答案2

关于“所有用户都可以连接到该网络”

这会设置 中的“connection.permissions”选项man nm-settings。它控制只有您的系统用户才能修改、查看和使用连接。这也意味着，连接仅在用户登录时自动连接。在通常的单用户系统上，该设置并不重要（除非您希望连接在登录前自动连接）。

关于密码

对于每个密码属性（例如 WPA PSK、VPN 机密等），NetworkManager 支持“标志”属性，该属性允许在系统范围内存储密码（以纯文本形式存储在只能由 root 访问的文件中）、从用户会话中检索、始终询问，或者不需要。请参阅secrets中的部分man nm-setttings。无论如何，每当 NM 需要一个它没有的密码时，它就需要请求另一个程序来获取它。该程序是所谓的“秘密代理”，它能够提示用户输入密码或从密钥环中检索密码，或者其他什么。这样的程序例如是nm-applet，，，，。因此，通常当您运行 KDE 或 Gnome 等图形会话时，这样的代理实际上正在运行。这也意味着，如果您想在登录之前自动连接，您要么必须在系统范围内存储密码（以纯文本形式），要么必须以某种方式设置一个秘密代理来从某个地方检索秘密（后者需要您自己破解某些东西，但无论如何，不​​清楚您从哪里获得密码，因为没有人登录）。nmclignome-shellplama-nm

至于如何配置密码标志以及密码位置，您可以使用各种 NM 客户端来完成。如果您nm-connection-editor按照上面的屏幕截图使用，您会在密码输入字段中看到一个小图标。单击它并选择您想要的任何内容。

请注意，例如在 Gnome3 上，如果您使用与用户密码相同的密码配置密钥环，则当用户登录时可以自动取消查看密钥环。这样的设置允许您将密码存储在密钥环中并自动连接当启动你的 gnome 会话时。细节可能有所不同，并且可能类似的东西也适用于 KDE。

问候证书文件

NetworkManager 中的所有证书都可以在线存储或作为路径存储。内联不太好，事实上 nm-connection-editor 只允许您指定路径。使用路径也有问题，因为 NetworkManager（以及 wpa-supplicant 和 VPN 插件）以不同的用户身份运行，因此您自己必须确保 NetworkManager 可以访问这些文件。在实践中，这意味着例如确保它们具有正确的 SELinux 标签，这又意味着将证书复制到~/.cert.有一天，通过使用证书管理器（在 NetworkManager 之外）并且使用 pkcs11 URL 来引用存储中的证书而不是传递文件（路径），这一点将会得到改善。

至于你的连接存储在哪里

这取决于您配置的设置插件（请参阅plugins）man NetworkManager.conf。在 Fedora 上这意味着ifcfg-rh,keyfile默认情况下。因此，连接最好采用ifcfg-rh格式（请参阅man nm-settings-ifcfg-rh、/etc/sysconfig/networking-scripts/ifcfg-rh*），其次采用密钥文件格式（请参阅man nm-settings-keyfile、/etc/NetworkManager/system-connections）。

至于为什么 KDE 的行为与 Gnome 不同尚不清楚。可能与秘密特工（gnome-shellvs. plasma-nm）和钥匙圈设置有关。

相关内容