OpenVPN auth-nocache: kio okazas ĉe la sekva saluto

Ŝaltu auth-nocache kaj la averto pri kaŝmemoro de pasvorto malaperas, kune kun la kopio de la identigiloj, kiun OpenVPN tenis por la sekva reintertraktado. Ĉu tio fariĝos peto, silenta reprovo aŭ rompita tunelo dependas de tio, de kie la identigiloj venas la duan fojon. Tial ĉi tio estas komparo inter deplojformoj, ne verdikto pri la opcio. Legu la formon, kiun vi efektive funkciigas, antaŭ ol redakti ajnan profilon.

De kie devas veni la dua aro da identigiloj

OpenVPN aplikas auth-nocache al la sekretoj kolektitaj de auth-user-pass kaj askpass: post kiam ili uziĝis, la procezo forĵetas ilin anstataŭ teni ilin por la sekva manpremo. Reintertraktado alvenas laŭ tempigilo, defaŭlte unufoje hore, do la dua peto alvenas longe post kiam la persono, kiu tajpis la pasvorton, jam foriris. Tiu breĉo estas la tuta historio. Se la kaŝmemoro restas ŝaltita, la kliento reludas la konservitan kopion sen demandi iun; se ĝi malŝaltiĝis, ĝi devas trovi la sekreton aliloke aŭ malsukcesi.

Do listigu ĉiun lokon, de kie la sekreto povus veni en tiu momento, kaj estu honesta pri kiuj el ili ekzistas sur la gastiganto. Persono ĉe terminalo, dosiero, kiun auth-user-pass aŭ askpass povas legi, aŭ sesia ĵetono eldonita de la servilo estas la tri, kiuj gravas ĉi tie. Se neniu el ili disponeblas, la reintertraktado malsukcesas unu horon post la ŝanĝo, ne en la momento, kiam vi faris ĝin.

Tri formoj, tri fiaskpunktoj

Labortabla kliento kun persono antaŭ ĝi estas la milda kazo: la peto revenas, iu tajpas la pasvorton denove, kaj la kosto estas atento. Servo, ujo aŭ enkursigilo funkciiganta OpenVPN sen terminalo estas la kruda kazo, ĉar neniu estas tie por respondi kaj la rekonekto, kiu antaŭe estis silenta, nun finas la tunelon. Hibrido situas inter la du kaj kondutas kiel la labortabla kazo ĝis la sesio, kiu povis respondi la peton, malaperas. Tio, kio disigas ilin, ne estas ĉu GUI estas instalita, sed ĉu identigila fonto ekzistas en la momento de la reintertraktado.

Mapu vian deplojon al unu el tiuj tri antaŭ ol ŝanĝi ion ajn, ĉar la konsilo, kiun vi trovas rete, preskaŭ ĉiam estas verkita por la unua. Apliki la labortablan respondon al sendependa servo estas kiel tunelo, kiu funkciis monatojn, komencas fali ĉiun horon.

Direktivo aŭ flago: elektu unu kaj sciu, kiun vi uzis

Ene de profilo, auth-nocache estas propra linio; ĉe alvoko, kiu eksplicite nomas profilon, ĝi estas flago sur tiu komandlinio, kaj la OpenVPN-manlibro listigas ambaŭ formojn. Ambaŭ faras la samon al identigila retenado, kaj neniu tuŝas la interfacan tipon aŭ riparas nerilatan averton en la sama protokolo. La diferenco estas daŭrado: la flago kovras nur tiun ruladon, do servo restartigita el unuodosiero aŭ ĉirkaŭa skripto ne havos ĝin, krom se la ĉirkaŭaĵo ankaŭ pasigas ĝin.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Decidu, kiu artefakto posedas la agordon, ŝanĝu ĝin tie kaj nenie alie. Profilo redaktita sur tekokomputilo plus systemd-unuo, kiu superregas ĝin per flago, estas la paro, kiu produktas kontraŭdiran konduton post restarto.

Identigila dosiero translokas la sekreton anstataŭ forigi ĝin

Direkti auth-user-pass al dosiero donas fonton al ĉiu posta reintertraktado, kaj ĝi ankaŭ metas la pasvorton ie, kio postvivas restartojn. Demandu, kiu povas legi tiun dosieron, ĉu la demono ankoraŭ povas legi ĝin post rezigni privilegiojn, kaj kio okazas, kiam la dosiersistemo estas muntita nurlege aŭ uja vido kaŝas la vojon. Sekreto sur disko kaj sekreto en memoro estas malsamaj problemoj, kaj solvi unu lasas la alian surloke. Rotacio estas la paŝo, kiu preteratentiĝas: pasvorto ŝanĝita sur la servilo sed ne en la dosiero produktas fiaskon, kiu legiĝas kiel reta paneo.

Teniu la dosieron posedata de la konto, kiu funkciigas la demonon, legebla de neniu alia, kaj ekster sekurkopioj, kiuj forlasas la gastiganton. La servila opcio auth-gen-token de OpenVPN donas al la kliento sesian ĵetonon post sukcesa saluto, kio estas pli malgranda afero lasi kuŝi ol la konta pasvorto. Skribu la rotacian paŝon apud la dosiero ĉiukaze, ĉar la dosiero kutime postvivas la personon, kiu kreis ĝin.

Etendi la reintertraktadon movas la koston, ĝi ne forigas ĝin

La alia sugesto estas altigi reneg-sec ĝis la peto estos sufiĉe malofta por ignori. Tio reskribas la horaron de ŝlosilrotacio de la sesio kaj puŝas la saman identigilan problemon al posta, malpli antaŭvidebla momento; ĝi ne kreas identigilan fonton. Politiko, kiu renovigas ŝlosilojn laŭ horaro pro kaŭzo, ne devus malstreĉiĝi nur por eviti tajpi pasvorton.

Testu la rekonekton anstataŭ la sesion, en kiu vi sidas, ĉar la viva sesio pruvas nenion. Faligu la tunelon de la servila flanko, aŭ restartigu la klientan servon, kaj observu, kion faras la sekva reintertraktado kun neniu ĉe la klavaro. Se ĝi rekonektiĝas, nomu la mekanismon, kiu liveris la sekreton; se ne, vi trovis la veran koston de la opcio sur ĉi tiu gastiganto. Ambaŭ rezultoj donas al vi respondon, kiu tenas dum paneo anstataŭ unu, kiu tenis dum testado.

En administrata floto, la posedanto de la deplojo devus povi nomi tri aferojn: de kie venas la identigiloj, kie ili estas konservataj, kaj kiu rotacias ilin. Se iu el tiuj respondoj estas la persono, kiu agordis la gastiganton, la opcio ankoraŭ ne estas sekura tie.