auth-nocache kredentzialen fitxategi batekin: laguntzen du edo kalte egiten?

OpenVPN abiaraztean iradokizun hau duen abisua inprimatzen du: auth-nocache, eta erantzun tentagarria aukera gehitzea eta lerroa desagertzen ikustea da. Aholku horrek saio-hasiera interaktiboa suposatzen du. Erabiltzaile-izena eta pasahitza fitxategi batean bizi direnean, konparazioa aldatzen da: aukerak kopia iraunkorra babesteari uzten dio, eta pribilegioak uzten dituen bezero batean berriz negoziatzea hauts dezake geroago. Bi biltegiratze-eredu bereiztea merezi du profil bat editatu aurretik.

Kredentzialen eskaerari erantzuteko bi modu

Lehen eredua terminalean kredentzialak idazten dituen pertsona bat da, edo saiorako horiek gordetzen dituen kudeaketa-interfaze bat. OpenVPN-k kopia hori gordetzen du hurrengo berriz negoziazioari berriro galdetu gabe erantzuteko, eta horixe da abisuaren gaia. Diskoan ez dago ezer sartuta, beraz babestu beharreko gauza bakarra balioa gordetzen duen prozesua da. Itxi bezeroa eta kopia harenarekin desagertuko da.

Bigarren eredua auth-user-pass da, fitxategi batera seinalatzen duena; han fitxategia da biltegia eta bezeroak hura irakurtzen du balio bat behar denean. Hemen garrantzitsua den esposizioa ez da prozesuaren memoria, fitxategi horren baimenak eta jabetza baizik. Abiarazteko abisua konfigurazioko direktibetatik dator, pasahitza nola ematen duzun aztertzetik ez, beraz bi ereduetan agertzen da eta ez du inora seinalatzen.

Konparazio honen gainerakoa banaketa horretatik dator: memoria-kudeaketa eredu baterako, fitxategi-kudeaketa eta prozesu-identitatea bestearentzat.

Zer botatzen duen auth-nocache-k benetan

Saio-hasiera interaktiboarekin, --auth-nocache gordetako kopia memoriatik kentzen du erabili ondoren. Kostua berriz negoziazio-tarte bakoitzean eskaera berri bat da, zeren hurrengo txandak ezin baitu botatakoa berrerabili.

Fitxategian oinarritutako saio-hasierarekin bezeroak fitxategia berriro irakur dezake, beraz botatzea ia ikusezina da. Leku bakarrean bihurtzen da ikusgai, jendeak espero ez duen lekuan: daemonak pribilegioak utzi ondoren, kredentzialen fitxategia orain exekutatzen den kontuarentzat irakurgarria ez bada.

Gehitu aukera truke hori ulertzen duzulako, ez abisu bat agertu delako. Log bat isilagoa egiteko gehitutako aukera inork neurtu ez duen efektua duen aukera da.

Non hausten den fitxategian oinarritutako bidea

Tunel-gailua irekitzeko root gisa hasten eta gero user eta group ra aldatzen den bezero batek kredentzialen fitxategia bi aldiz irakurtzen du: behin aldaketaren aurretik, behin ondorengo berriz negoziazioan. Fitxategiak 600 modua badu eta root-ena bada, bigarren irakurketa huts egiten du, eta hutsegitea ordubete geroago agertzen da zerbitzariaren arazo baten antza duen autentifikazio-errore gisa. Egiaztatu bezeroaren loga berriz negoziazio-tartearen inguruan, eta gero egiaztatu kontua eta fitxategia elkarrekin.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Bi lerroak garrantzitsuak dira. Lehenak esaten dizu nork irakur dezakeen fitxategia, bigarrenak esaten dizu nor den benetan exekutatzen ari den daemona, eta bien arteko desadostasunak pasahitza berridazteak konponduko ez duen hutsegite bat azaltzen du.

Konponketa praktikoak ez dira glamurosoak: eraman fitxategia daemonaren kontuak irakur dezakeen direktorio eta jabe batera, edo mantendu irakurketa pribilegiatua eta egiaztatu zure bezeroak behin bakarrik irakurtzen duela. Ez konpondu fitxategia denek irakurgarri eginez.

Aukera benetan nahi duen kasua

Behin-behineko kode bat daraman saio-hasierak auth-nocache nahi du beste arrazoi batengatik. Behin-behineko kodea lehen autentifikazioan gastatzen da, beraz cachean gordetako kopia erabilgaitza da hurrengo berriz negoziazioan, eta balio zaharkitu bat berriro erreproduzitu ere egin liteke.

Hori kredentzial motari buruzko galdera da, ez non gordetzen den. Fitxategi babestu bateko pasahitz estatikoak kontrako profila du: berriz negoziazio bakoitzean irakurgarria izan behar du, eta behar duzun babesa fitxategian dago.

Mantendu bi arrazoi horiek bereizita profileko iruzkinetan, bestela hurrengo administratzaileak pentsatuko du aukera hark berak aukeratuko lukeen arrazoiagatik dagoela.

Konparazioa erabaki bakarrean

Aukeratu eredu interaktiboa pertsona bat dagoenean eta freskotasunak garrantzia duenean, eta onartu eskaera errepikaria haren kostu gisa. Aukeratu fitxategi-eredua bezeroa gainbegiratu gabe funtzionatzen duenean, eta gastatu ahalegina jabetzan, moduan eta pribilegioak uztean.

Eredu batek ere ez du gordetako pasahitz bat berez seguru egiten, eta batek ere ez du abiarazteko abisua esanguratsu egiten.

Abisua profila ireki zenuen arrazoi bakarra bada, idatzi erabakia azalpenik gabeko aukera baten ordez: kredentzialak daemonaren kontuak irakur dezakeen fitxategi batetik datoz, berriz negoziazio bat arrakastatsua ikusi da, eta OpenVPN 2.6 eskuliburuaren berriz negoziazioari buruzko atala irakurri zen haren tartea aldatu aurretik. Ohar horrek edozein bandera bakarra baino gehiago irauten du.