OpenVPN auth-nocache: mis juhtub järgmisel sisselogimisel

Lülitage auth-nocache sisse ja parooli vahemällu salvestamise hoiatus kaob, koos selle volituste koopiaga, mida OpenVPN järgmiseks uuesti läbirääkimiseks hoidis. Kas sellest saab küsimus, vaikne korduskatse või katkenud tunnel, sõltub sellest, kust volitused teisel korral tulevad. Seega on see võrdlus juurutusviiside vahel, mitte hinnang valikule. Lugege seda vormi, mida te tegelikult kasutate, enne kui muudate ükskõik millist profiili.

Kust teine volituste komplekt peab tulema

OpenVPN rakendab auth-nocache'i auth-user-pass'i ja askpass'i kogutud saladustele: pärast kasutamist viskab protsess need ära, selle asemel et neid järgmiseks käepigistuseks hoida. Uuesti läbirääkimine saabub taimeriga, vaikimisi kord tunnis, nii et teine päring saabub kaua pärast seda, kui parooli sisestanud inimene on edasi liikunud. See vahe ongi kogu lugu. Kui vahemälu on sees, mängib klient salvestatud koopia ilma kelleltki küsimata; kui vahemälu on väljas, peab ta saladuse mujalt leidma või ebaõnnestuma.

Loetlege seega kõik kohad, kust saladus sel hetkel tulla võiks, ja olge ausad, millised neist hostis olemas on. Inimene terminali ääres, fail, mida auth-user-pass või askpass lugeda saab, või serveri väljastatud sessioonitoken on need kolm, mis siin loevad. Kui ükski neist pole saadaval, ebaõnnestub uuesti läbirääkimine tund pärast muudatust, mitte hetkel, mil te selle tegite.

Kolm vormi, kolm tõrkepunkti

Töölauaklient, mille ees on inimene, on kerge juhtum: päring tuleb tagasi, keegi sisestab parooli uuesti ja hind on tähelepanu. Terminalita OpenVPN-i käitav teenus, konteiner või ruuter on karm juhtum, sest vastata pole kedagi ja ühendus, mis varem oli vaikne, lõpetab nüüd tunneli. Hübriid asub kahe vahel ja käitub nagu töölauajuhtum, kuni kaob sessioon, mis oleks saanud päringule vastata. Neid eristab mitte see, kas GUI on paigaldatud, vaid see, kas uuesti läbirääkimise ajal on volituste allikas olemas.

Siduge oma juurutus ühega neist kolmest enne, kui midagi muudate, sest internetist leitav nõuanne on peaaegu alati kirjutatud esimese jaoks. Töölauavastuse rakendamine terminalita teenusele on viis, kuidas kuude kaupa töötanud tunnel hakkab iga tund katkema.

Direktiiv või lipp: valige üks ja teadke, millist kasutasite

Profiili sees on auth-nocache omaette rida; käskluses, mis nimetab profiili selgesõnaliselt, on see selle käsurea lipp, ja OpenVPN-i käsiraamat loetleb mõlemad vormid. Mõlemad teevad volituste hoidmisega sama asja ja kumbki ei puuduta liidese tüüpi ega paranda samas logis olevat seostamatut hoiatust. Erinevus on püsivuses: lipp kehtib ainult selle käivituse kohta, nii et unit-failist või ümbrisest taaskäivitatud teenusel seda ei ole, kui ümbris seda samuti edasi ei anna.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Otsustage, milline artefakt sätet omab, muutke seda seal ja mitte kusagil mujal. Sülearvutis muudetud profiil pluss systemd unit, mis selle lipuga üle kirjutab, on paar, mis tekitab pärast taaskäivitust vastuolulist käitumist.

Volituste fail teisaldab saladuse, selle asemel et see kustutada

auth-user-pass'i failile osutamine annab igale hilisemale läbirääkimisele allika ja paneb parooli ka kohta, mis elab taaskäivitused üle. Küsige, kes seda faili lugeda saab, kas deemon saab seda veel lugeda pärast privileegidest loobumist ja mis juhtub, kui failisüsteem on ühendatud kirjutuskaitstult või konteinerivaade tee peidab. Saladus kettal ja saladus mälus on erinevad probleemid, ja ühe lahendamine jätab teise paigale. Rotatsioon on samm, mis vahele jääb: serveris muudetud, kuid failis muutmata parool tekitab tõrke, mida loetakse võrguveana.

Hoidke fail deemonit käitava konto omandis, teistele mitteloetavana ja väljaspool hostist lahkuvaid varukoopiaid. OpenVPN-i serveripoolne valik auth-gen-token annab kliendile pärast edukat sisselogimist sessioonitokeni, mis on väiksem asi vedelema jätta kui konto parool. Kirjutage rotatsioonisamm igal juhul faili kõrvale, sest fail elab tavaliselt kauem kui selle loonud inimene.

Läbirääkimise venitamine liigutab kulu, ei kõrvalda seda

Teine ettepanek on tõsta reneg-sec'i, kuni päring on nii harv, et seda võib eirata. See kirjutab üle sessiooni võtmerotatsiooni graafiku ja lükkab sama volituste probleemi hilisemasse, vähem prognoositavasse hetke; see ei loo volituste allikat. Poliitikat, mis uuendab võtmeid graafiku järgi mingil põhjusel, ei tohiks lõdvendada ainult parooli sisestamise vältimiseks.

Testige uuesti ühendumist, mitte sessiooni, milles istute, sest elav sessioon ei tõesta midagi. Laske tunnel serveripoolt alla või taaskäivitage klienditeenus ja vaadake, mida järgmine läbirääkimine teeb, kui klaviatuuri ääres pole kedagi. Kui see ühendub uuesti, nimetage mehhanism, mis saladuse andis; kui mitte, olete leidnud selle hosti valiku tegeliku kulu. Kumbki tulemus annab teile vastuse, mis peab katkestuse ajal, mitte sellise, mis pidas testimise ajal.

Hallatavas flaadis peaks juurutuse omanik suutma nimetada kolme asja: kust volitused tulevad, kus neid hoitakse ja kes neid roteerib. Kui mõni neist vastustest on inimene, kes hosti seadistas, pole valik seal veel turvaline.