OpenVPN auth-nocache: növbəti girişdə nə baş verir

auth-nocache seçimini aktivləşdirin və parolun keşlənməsi ilə bağlı xəbərdarlıq, OpenVPN-in növbəti yenidən danışıq üçün saxladığı etimad məlumatlarının surəti ilə birlikdə yox olur. Bunun sorğuya, səssiz təkrar cəhdə yoxsa qopan tunelə çevrilməsi etimad məlumatlarının ikinci dəfə haradan gəldiyindən asılıdır. Bu, seçim barədə hökm deyil, yerləşdirmə formaları arasında müqayisədir. Hər hansı profili redaktə etməzdən əvvəl faktiki işlətdiyiniz formanı oxuyun.

İkinci etimad məlumatları dəsti haradan gəlməlidir

OpenVPN auth-nocache seçimini auth-user-pass və askpass tərəfindən toplanan sirlərə tətbiq edir: onlar istifadə olunduqdan sonra proses onları növbəti əl sıxma üçün saxlamır, atır. Yenidən danışıq taymerlə, standart olaraq saatda bir dəfə gəlir, buna görə ikinci sorğu parolu yazan şəxs çoxdan getdikdən sonra çatır. Bütün hekayə elə həmin boşluqdur. Keş açıq qalanda müştəri saxlanan surəti heç kimdən soruşmadan təkrar oxuyur; keş bağlı olanda isə sirri başqa yerdə tapmalı və ya uğursuz olmalıdır.

Beləliklə, həmin anda sirrin gələ biləcəyi hər yeri sadalayın və onlardan hansının hostda mövcud olduğu barədə dürüst olun. Terminalda oturan şəxs, auth-user-pass və ya askpass-ın oxuya bildiyi fayl və ya serverin verdiyi sessiya tokeni burada əhəmiyyətli olan üç mənbədir. Əgər bunlardan heç biri yoxdursa, yenidən danışıq dəyişikliyi etdiyiniz anda deyil, dəyişiklikdən bir saat sonra uğursuz olur.

Üç forma, üç uğursuzluq nöqtəsi

Qarşısında insan olan masaüstü müştəri yumşaq haldır: sorğu qayıdır, kimsə parolu yenidən yazır və xərc diqqətdir. Terminalsız OpenVPN işlədən xidmət, konteyner və ya marşrutlaşdırıcı sərt haldır, çünki cavab verən yoxdur və əvvəllər səssiz olan yenidən qoşulma indi tuneli bağlayır. Hibrid ikisinin arasında dayanır və sorğuya cavab verə bilən sessiya yox olana qədər masaüstü halı kimi davranır. Onları ayıran şey GUI-nin quraşdırılıb-quraşdırılmaması deyil, yenidən danışıq vaxtı etimad mənbəyinin olub-olmamasıdır.

Hər nəyisə dəyişməzdən əvvəl yerləşdirmənizi bu üçündən birinə uyğunlaşdırın, çünki onlayn tapdığınız məsləhət demək olar ki, həmişə birinci hal üçün yazılır. Masaüstü cavabını terminalsız xidmətə tətbiq etmək, aylarla işləyən tunelin hər saat qopmağa başlamasının yoludur.

Direktiva yoxsa bayraq: birini seçin və hansını işlətdiyinizi bilin

Profilin içində auth-nocache ayrıca sətirdir; profili açıq şəkildə adlandıran çağırışda isə həmin əmr sətrində bayraqdır və OpenVPN təlimatı hər iki formanı sadalayır. Hər ikisi etimad məlumatlarının saxlanmasına eyni şeyi edir və heç biri interfeys növünə toxunmur və ya eyni jurnalda oturan əlaqəsiz xəbərdarlığı düzəltmir. Fərq davamlılıqdır: bayraq yalnız həmin işə aiddir, buna görə unit faylından və ya sarğı skriptindən yenidən başladılan xidmət, sarğı onu da ötürməsə, ona sahib olmayacaq.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Parametrin hansı artefakta aid olduğuna qərar verin, onu yalnız orada dəyişin. Noutbukda redaktə edilmiş profil və onu bayraqla üstələyən systemd unit-i yenidən başlatmadan sonra ziddiyyətli davranış yaradan cütlükdür.

Etimad faylı sirri silmək əvəzinə yerini dəyişir

auth-user-pass-ı fayla yönəltmək hər sonrakı yenidən danışığa mənbə verir və parolu yenidən başlatmalara davam edən bir yerə qoyur. O faylı kimin oxuya bildiyini, daemon imtiyazlardan imtina etdikdən sonra onu hələ oxuya bilib-bilmədiyini və fayl sistemi yalnız oxuma üçün qoşulanda və ya konteyner görünüşü yolu gizlədəndə nə baş verdiyini soruşun. Diskdəki sirr və yaddaşdakı sirr fərqli problemlərdir və birini həll etmək digərini yerində qoyur. Rotasiya atlanan addımdır: serverdə dəyişdirilən, amma faylda dəyişdirilməyən parol şəbəkə nasazlığı kimi oxunan uğursuzluq yaradır.

Faylı daemonu işlədən hesabın mülkiyyətində saxlayın, başqa heç kim oxumasın və hostdan çıxan ehtiyat nüsxələrdən kənarda saxlayın. OpenVPN-in server tərəfindəki auth-gen-token seçimi uğurlu girişdən sonra müştəriyə sessiya tokeni verir ki, bu da hesab parolundan daha kiçik bir şeyin ətrafda qalması deməkdir. Rotasiya addımını hər halda faylın yanında yazın, çünki fayl adətən onu yaradan şəxsdən çox yaşayır.

Yenidən danışığı uzatmaq xərci yerini dəyişir, onu aradan qaldırmır

Digər təklif reneg-sec-i sorğu laqeyd etmək qədər nadir olana kimi artırmaqdır. Bu, sessiyanın açar rotasiyası cədvəlini yenidən yazır və eyni etimad problemini daha gec, daha az proqnozlaşdırıla bilən bir ana itələyir; etimad mənbəyi yaratmır. Açarları hansısa səbəbdən cədvəl üzrə yeniləyən siyasət yalnız parol yazmaqdan qaçmaq üçün yumşaldılmamalıdır.

Oturduğunuz sessiyanı deyil, yenidən qoşulmanı sınayın, çünki canlı sessiya heç nə sübut etmir. Tuneli server tərəfdən qoparın və ya müştəri xidmətini yenidən başladın və klaviaturada heç kim yoxkən növbəti yenidən danışığın nə etdiyini izləyin. Yenidən qoşulursa, sirri təmin edən mexanizmin adını çəkin; qoşulmursa, bu hostda seçimin həqiqi xərcini tapmısınız. Hər iki nəticə sizə sınaq zamanı deyil, kəsinti zamanı etibarlı olan cavab verir.

İdarə olunan donanmada yerləşdirməyə sahib olan hər kəs üç şeyi adlandıra bilməlidir: etimad məlumatının haradan gəldiyini, harada saxlandığını və onu kimin rotasiya etdiyini. Bu cavablardan hər hansı hostu quran şəxsdirsə, seçim orada hələ təhlükəsiz deyil.