auth-nocache və etimad faylı: kömək edir, yoxsa zərər verir?

OpenVPN işə salınanda auth-nocache seçimini təklif edən xəbərdarlıq çap edir və cazibədar cavab seçimi əlavə edib sətrin yox olmasını izləməkdir. Bu məsləhət interaktiv girişi nəzərdə tutur. İstifadəçi adı və parol faylda olduqda müqayisə dəyişir: seçim davamlı nüsxəni qorumağı dayandırır və imtiyazlardan imtina edən klientdə sonradan yenidən danışıqları poza bilər. Profili redaktə etməzdən əvvəl iki saxlama modelini ayrı tutmağa dəyər.

Etimad sorğusuna iki cavab yolu

Birinci model terminalda etimad məlumatlarını yazan insandır və ya onları sessiya üçün saxlayan idarəetmə interfeysidir. OpenVPN həmin nüsxəni saxlayır ki, növbəti yenidən danışıqlara yenidən soruşmadan cavab verə bilsin — xəbərdarlıq məhz bundan gedir. Diskdə heç nə iştirak etmir, buna görə qorunmalı yeganə şey dəyəri saxlayan prosesdir. Klienti bağlasanız, nüsxə də onunla yox olur.

İkinci model fayla işarə edən auth-user-pass seçimidir; burada fayl anbar yeridir və klient dəyər lazım olduqda onu oxuyur. Burada vacib məruz qalma proses yaddaşı deyil, həmin faylın icazələri və sahibliyidir. Başlanğıc xəbərdarlığı konfiqurasiyadakı direktivlərdən gəlir, parolu necə verdiyinizin yoxlanmasından deyil, ona görə hər iki modeldə görünür və heç birinə işarə etmir.

Bu müqayisənin qalanı həmin bölgüdən irəli gəlir: bir model üçün yaddaş idarəsi, digəri üçün fayl idarəsi və proses kimliyi.

auth-nocache əslində nəyi atır

İnteraktiv girişdə --auth-nocache istifadə edildikdən sonra saxlanan nüsxəni yaddaşdan silir. Qiymət hər yenidən danışıqlar intervalında yeni sorğudur, çünki növbəti raund atılanı təkrar istifadə edə bilməz.

Fayla əsaslanan girişdə klient faylı yenidən oxuya bilər, buna görə atma çox vaxt görünməz qalır. O, insanların gözləmədiyi yerdə görünür: daemon imtiyazlardan imtina etdikdən sonra, etimad faylı artıq onun altında işlədiyi hesab tərəfindən oxuna bilmirsə.

Seçimi bu mübadiləni başa düşdüyünüz üçün əlavə edin, xəbərdarlıq göründüyü üçün deyil. Logu sakitləşdirmək üçün əlavə edilən seçim, təsiri heç kim tərəfindən ölçülməmiş seçimdir.

Fayla əsaslanan yolun qırıldığı yer

Tunel qurğusunu açmaq üçün root kimi başlayıb sonra user və group keçidinə keçən klient etimad faylını iki dəfə oxuyur: keçiddən əvvəl bir dəfə, ardınca gələn yenidən danışıqlarda bir dəfə. Fayl 600 rejimindədirsə və root-a aiddirsə, ikinci oxuma uğursuz olur və uğursuzluq bir saat sonra server problemi kimi görünən autentifikasiya xətası kimi üzə çıxır. Yenidən danışıqlar intervalı ətrafında klient loguna, sonra hesaba və fayla birlikdə baxın.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Hər iki sətir vacibdir. Birincisi faylı kimin oxuya bildiyini, ikincisi işləyən daemonun əslində kim olduğunu deyir və aralarındakı uyğunsuzluq parolu neçə dəfə yenidən yazmağın da düzəldə bilməyəcəyi uğursuzluğu izah edir.

Praktik düzəlişlər möhtəşəm deyil: faylı daemon hesabının oxuya bildiyi qovluğa və sahibə köçürün, ya da imtiyazlı oxumanı saxlayıb klientinizin yalnız bir dəfə oxuduğunu təsdiqləyin. Faylı hamıya oxunaqlı etməklə həll etməyin.

Seçimi həqiqətən istəyən hal

Birdəfəlik kod daşıyan giriş auth-nocache seçimini başqa səbəbdən istəyir. Birdəfəlik kod ilk autentifikasiyada xərclənir, buna görə keşlənmiş nüsxə növbəti yenidən danışıqlarda faydasızdır və köhnə dəyər hətta təkrar oynadıla bilər.

Bu, etimad növü ilə bağlı sualdır, onun harada saxlandığı ilə bağlı deyil. Qorunan fayldakı statik parolun profili əksdir: hər yenidən danışıqlarda oxunaqlı olmalıdır və lazım olan qoruma faylın üzərindədir.

Bu iki səbəbi profil şərhlərində ayrı saxlayın, əks halda növbəti administrator seçimin özünün seçəcəyi səbəbə görə orada olduğunu güman edəcək.

Bir qərarla müqayisə

İnsan iştirak edəndə və təzəlik vacib olanda interaktiv modeli seçin və təkrar sorğunu onun qiyməti kimi qəbul edin. Klient nəzarətsiz işləyəndə fayl modelini seçin və səyi sahiblik, rejim və imtiyazların atılmasına sərf edin.

Heç bir model saxlanan parolu təkbaşına təhlükəsiz etmir və heç biri başlanğıc xəbərdarlığını mənalı etmir.

Xəbərdarlıq profili açmağınızın yeganə səbəbidirsə, izahsız seçim yerinə qərarı qeyd edin: etimad məlumatları daemon hesabının oxuya bildiyi fayldan gəlir, yenidən danışıqların uğurla keçdiyi görülüb və intervalı dəyişməzdən əvvəl OpenVPN 2.6 təlimatının yenidən danışıqlar bölməsi oxunub. Bu qeyd hər hansı ayrı flaqdan uzun yaşayır.