OpenVPN auth-nocache: zer gertatzen den hurrengo saio-hasieran

Aktibatu auth-nocache eta pasahitzaren cacheari buruzko abisua desagertzen da, OpenVPN hurrengo berriz negoziatzeko gordetzen zuen kredentzialen kopiarekin batera. Hori galdera, berriro saiakera isil edo tunel etena bihurtuko den ala ez, kredentzialak bigarren aldiz nondik datozen araberakoa da. Beraz, hau hedapen-formen arteko alderaketa da, ez aukerari buruzko epaia. Irakurri benetan exekutatzen duzun forma edozein profil editatu aurretik.

Nondik etorri behar du bigarren kredentzial-multzoak

OpenVPNeck auth-nocache auth-user-pass eta askpass-ek biltzen dituzten sekretuei aplikatzen die: erabili ondoren, prozesuak baztertu egiten ditu hurrengo esku-ematea lortzeko gorde beharrean. Berriz negoziatzea tenporizadore baten bidez iristen da, lehenespenez orduan behin, beraz bigarren eskaera pasahitza idatzi zuen pertsona aspaldi joan ondoren iristen da. Tarte hori da istorio osoa. Cachea piztuta dagoela, bezeroak gordetako kopiua erreproduzitzen du inori galdetu gabe; cachea itzalita, sekretua beste nonbait aurkitu behar du edo huts egin.

Beraz, zerrendatu une horretan sekretua etor daitekeen leku guztiak, eta izan zintzoa horietatik zein dauden ostalarian. Terminal batean dagoen pertsona, auth-user-pass edo askpass-ek irakur dezaketen fitxategia, edo zerbitzariak emandako saio-tokena dira hemen garrantzitsuak diren hirurak. Horietako bat ere ez badago erabilgarri, berriz negoziatzeak huts egiten du aldaketaren ordubete geroago, aldaketa egin zenuen unean ez.

Hiru forma, hiru hutsegite-puntu

Aurrean pertsona bat duen mahaigaineko bezeroa kasu arina da: galdera itzultzen da, norbaitek pasahitza berriro idazten du, eta kostua arreta da. Terminalik gabe OpenVPN exekutatzen duen zerbitzua, edukiontzia edo bideratzailea kasu gogorra da, ez baitago inor erantzuteko eta lehen isila zen berriz konektatzeak tunela amaitzen du orain. Hibridoak bien artean kokatzen da eta mahaigaineko kasuaren moduan jokatzen du galderari erantzun ziezaiokeen saioa desagertu arte. Hauek bereizten dituena ez da GUI bat instalatuta dagoen, baizik eta berriz negoziatzeko unean kredentzialen iturririk badagoen.

Esleitu zure hedapena hiru horietako bati ezer aldatu aurretik, linean aurkitzen duzun aholkua ia beti lehenengoarentzat idatzita dagoelako. Mahaigaineko erantzuna terminalik gabeko zerbitzuari aplikatzea da hilabeteetan funtzionatu zuen tunel bat orduro erortzen hasteko modua.

Direktiba edo bandera: aukeratu bat eta jakin zein erabili duzun

Profil baten barruan, auth-nocache bere lerroa da; profil bat espresuki izendatzen duen deialdian, komando-lerro horretako bandera da, eta OpenVPN eskuliburuak bi formak zerrendatzen ditu. Biek gauza bera egiten dute kredentzialak atxikitzeko orduan, eta batek ere ez du interfaze mota ukitzen ezta erregistro berean dagoen erlaziorik gabeko abisurik konpontzen. Aldea iraunkortasunean dago: banderak exekuzio hori soilik hartzen du, beraz unit fitxategi edo bilgarri script batetik berrabiarazitako zerbitzu batek ez du izango, bilgarriak ere pasatzen ez badu.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Erabaki zein artefaktuk duen ezarpena, aldatu han eta inon ez. Ordenagailu eramangarrian editatutako profila gehi bandera batekin gainidazten duen systemd unit bat da berrabiarazi ondoren portaera kontraesankorra sortzen duen bikotea.

Kredentzialen fitxategiak sekretua lekuz aldatzen du, ezabatu beharrean

auth-user-pass fitxategi batera zuzentzeak geroko berriz negoziazio bakoitzari iturri bat ematen dio, eta pasahitza berrabiarazteak gainditzen dituen leku batean jartzen du. Galdetu nork irakur dezakeen fitxategi hori, deabruak pribilegioak utzi ondoren irakur dezakeen oraindik, eta zer gertatzen den fitxategi-sistema irakurtzeko soilik muntatuta dagoenean edo edukiontzi baten ikuspegiak bidea ezkutatzen duenean. Diskoan dagoen sekretu bat eta memorian dagoen sekretu bat arazo desberdinak dira, eta bat konpontzeak bestea bere lekuan uzten du. Errotazioa da saltatzen den urratsa: zerbitzarian aldatu baina fitxategian aldatu ez den pasahitz batek sare-errore gisa irakurtzen den hutsegitea sortzen du.

Eduki fitxategia deabrua exekutatzen duen kontuaren jabetzan, inork beste irakur ez dezan, eta ostalaria uzten duten segurtasun-kopietatik kanpo. OpenVPNren zerbitzari aldeko auth-gen-token aukerak saio-token bat ematen dio bezeroari saio-hasiera arrakastatsuaren ondoren, kontuaren pasahitza baino gauza txikiagoa inguruan uzteko. Idatzi errotazio-urratsa fitxategiaren ondoan nolanahi ere, fitxategiak normalean sortu zuen pertsona baino gehiago irauten baitu.

Berriz negoziazioa luzatzeak kostua lekuz aldatzen du, ez du kentzen

Beste iradokizuna reneg-sec igotzea da, galdera gainditu daitekeen neurrian arraroa izan arte. Horrek saioaren gako-errotazioaren egutegia berridazten du eta kredentzialen arazo bera geroagoko une gutxiago aurreikustean bultzatzen du; ez du kredentzialen iturririk sortzen. Gakoak egutegien arabera arrazoiren batengatik berritzen dituen politikari ez litzaioke lasaitu behar pasahitz bat idaztea saihesteko soilik.

Probatu berriz konektatzea, ez zauden saioa, saio bizia ez baita ezer frogatzen. Utzi tunela zerbitzari aldetik erortzen, edo berrabiarazi bezeroaren zerbitzua, eta begiratu zer egiten duen hurrengo berriz negoziazioak teklatuan inor gabe. Berriz konektatzen bada, izenda ezazu sekretua eman zuen mekanismoa; ez bada, aurkitu duzu aukeraren benetako kostua ostalari honetan. Bi emaitzetako edozeinek etenaldi batean balio duen erantzuna ematen dizu, probetan balio izan zuenaren ordez.

Kudeatutako flota batean, hedapenaren jabeak hiru gauza izenda ditzake: kredentzialak nondik datozen, non gordetzen diren eta nork errotatzen dituen. Erantzun horietako edozein ostalaria konfiguratu zuen pertsona bada, aukera ez da oraindik segurua han.