OpenVPN auth-nocache: beth sy’n digwydd yn y mewngofnod nesaf

Trowch auth-nocache ymlaen ac mae’r rhybudd am gachetio cyfrinair yn diflannu, ynghyd â’r copi o’r manylion yr oedd OpenVPN yn eu cadw ar gyfer yr ail-drafodaeth nesaf. P’un a ddaw hynny’n sylw, yn ailgynnig distaw neu’n dwnnel a dorrwyd, mae’n dibynnu ar o ble y daw’r manylion yr eilwaith. Felly mae hwn yn gymhariaeth rhwng ffurfiau defnyddio, nid yn farn am yr opsiwn. Darllenwch y ffurf yr ydych yn ei chynnal mewn gwirionedd cyn golygu unrhyw broffil.

O ble y mae’n rhaid i’r ail set o fanylion ddod

Mae OpenVPN yn cymhwyso auth-nocache i’r cyfrinachau a gasglwyd gan auth-user-pass ac askpass: ar ôl eu defnyddio, mae’r broses yn eu gollwng yn lle eu cadw ar gyfer yr handshake nesaf. Daw’r ail-drafodaeth ar amserydd, unwaith yr awr yn ddiofyn, felly mae’r ail gais yn cyrraedd ymhell ar ôl i’r person a deipiodd y cyfrinair symud ymlaen. Y bwlch hwnnw yw’r stori gyfan. Gyda’r cache ymlaen, mae’r cleient yn ailchwarae’r copi a storiwyd heb ofyn i neb; gyda’r cache i ffwrdd, rhaid iddo ddod o hyd i’r gyfrinach rywle arall neu fethu.

Felly rhestrwch bob man y gallai’r gyfrinach ddod ohono ar y pryd, a byddwch yn onest ynghylch pa rai ohonynt sy’n bodoli ar y gwesteiwr. Person wrth derfynell, ffeil y gall auth-user-pass neu askpass ei darllen, neu docyn sesiwn a ddyroddir gan y gweinydd yw’r tri sy’n cyfrif yma. Os nad oes yr un ohonynt ar gael, mae’r ail-drafodaeth yn methu awr ar ôl y newid yn hytrach nag ar y foment y gwnaethoch ef.

Tair ffurf, tri man methiant

Cleient bwrdd gwaith gyda pherson o’i flaen yw’r achos ysgafn: mae’r sylw’n dychwelyd, mae rhywun yn teipio’r cyfrinair eto, a’r gost yw sylw. Gwasanaeth, cynhwysydd neu lwybrydd sy’n rhedeg OpenVPN heb derfynell yw’r achos llym, gan nad oes neb yno i ateb ac mae’r ailgysylltiad a oedd yn ddistaw bellach yn gorffen y twnnel. Mae hybrid yn eistedd rhwng y ddau, gan ymddwyn fel achos y bwrdd gwaith nes bod y sesiwn a allai ateb y sylw yn diflannu. Yr hyn sy’n eu gwahanu nid yw a oes GUI wedi’i osod, ond a oes ffynhonnell fanylion yn bodoli adeg yr ail-drafodaeth.

Mapiwch eich defnydd ar un o’r tri hyn cyn newid unrhyw beth, oherwydd mae’r cyngor a gewch ar-lein bron bob amser wedi’i ysgrifennu ar gyfer y cyntaf. Cymhwyso ateb y bwrdd gwaith i wasanaeth heb derfynell yw sut mae twnnel a weithiodd am fisoedd yn dechrau cwympo bob awr.

Cyfarwyddeb neu fflag: dewiswch un a gwybod pa un a ddefnyddiwyd gennych

O fewn proffil, mae auth-nocache yn llinell ar ei phen ei hun; ar alwad sy’n enwi proffil yn benodol, mae’n fflag ar y llinell orchymyn honno, ac mae llawlyfr OpenVPN yn rhestru’r ddwy ffurf. Mae’r ddau yn gwneud yr un peth i gadw manylion, ac nid yw’r un ohonynt yn cyffwrdd â’r math o ryngwyneb nac yn trwsio rhybudd anghysylltiedig yn yr un log. Y gwahaniaeth yw parhad: mae’r fflag yn cwmpasu’r rhediad hwnnw yn unig, felly ni fydd gan wasanaeth a ailgychwynnir o ffeil unit neu sgript lapio mohoni oni bai bod y lapio hefyd yn ei throsglwyddo.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Penderfynwch pa arteffact sy’n berchen ar y gosodiad, newidiwch ef yno ac yn unman arall. Proffil a olygwyd ar liniadur ynghyd ag unit systemd sy’n ei drechu â fflag yw’r pâr sy’n cynhyrchu ymddygiad gwrthgyferbyniol ar ôl ailgychwyn.

Mae ffeil fanylion yn symud y gyfrinach yn lle ei dileu

Mae cyfeirio auth-user-pass at ffeil yn rhoi ffynhonnell i bob ail-drafodaeth ddiweddarach, ac mae hefyd yn rhoi’r cyfrinair rywle sy’n goroesi ailgychwyn. Gofynnwch pwy all ddarllen y ffeil honno, a all y daemon ei darllen o hyd ar ôl ildio breintiau, a beth sy’n digwydd pan fydd y system ffeiliau wedi’i mowntio’n ddarllen yn unig neu pan fydd golygfa cynhwysydd yn cuddio’r llwybr. Mae cyfrinach ar ddisg a chyfrinach mewn cof yn broblemau gwahanol, ac mae datrys un yn gadael y llall yn ei le. Rotasiwn yw’r cam a hepgorir: mae cyfrinair a newidiwyd ar y gweinydd ond nid yn y ffeil yn cynhyrchu methiant sy’n darllen fel nam rhwydwaith.

Cadwch y ffeil yn eiddo i’r cyfrif sy’n rhedeg y daemon, yn ddarllenadwy i neb arall, ac y tu allan i gopïau wrth gefn sy’n gadael y gwesteiwr. Mae opsiwn auth-gen-token ochr y gweinydd OpenVPN yn rhoi tocyn sesiwn i’r cleient ar ôl mewngofnodi’n llwyddiannus, sy’n beth llai i’w adael o gwmpas na chyfrinair y cyfrif. Ysgrifennwch y cam rotasiwn wrth ymyl y ffeil beth bynnag, oherwydd mae’r ffeil fel arfer yn goroesi’r person a’i creodd.

Mae ymestyn yr ail-drafodaeth yn symud y gost, nid yn ei dileu

Y cynnig arall yw codi reneg-sec nes bod y sylw mor brin fel y gellir ei anwybyddu. Mae hynny’n ailysgrifennu amserlen rotasiwn allweddi’r sesiwn ac yn gwthio’r un broblem fanylion i foment hwyrach, lai rhagweladwy; nid yw’n creu ffynhonnell fanylion. Ni ddylid llacio polisi sy’n adnewyddu allweddi ar amserlen am reswm dim ond er mwyn osgoi teipio cyfrinair.

Profwch yr ailgysylltiad yn hytrach na’r sesiwn yr ydych yn eistedd ynddi, oherwydd nid yw’r sesiwn fyw yn profi unrhyw beth. Gollyngwch y twnnel o ochr y gweinydd, neu ailgychwynnwch wasanaeth y cleient, a gwyliwch beth mae’r ail-drafodaeth nesaf yn ei wneud heb neb wrth y bysellfwrdd. Os yw’n ailgysylltu, enwch y mecanwaith a ddarparodd y gyfrinach; os nad yw, rydych wedi darganfod gwir gost yr opsiwn ar y gwesteiwr hwn. Mae’r naill ganlyniad neu’r llall yn rhoi ateb i chi sy’n dal yn ystod toriad yn lle un a ddaliodd yn ystod profion.

Ar fflyd a reolir, dylai pwy bynnag sy’n berchen ar y defnydd allu enwi tri pheth: o ble y daw’r manylion, ble y’u cedwir, a phwy sy’n eu rotio. Os mai’r person a osododd y gwesteiwr yw unrhyw un o’r atebion hynny, nid yw’r opsiwn yn ddiogel yno eto.