openvpn3 session-start-ek baztertu egiten du zure kredentzial-fitxategia

Konektatu 2.x bezeroarekin eta profila funtzionatuko du; eman fitxategi bera 3.x bezeroari eta pasahitzaren eskaeran geldituko da. Eman --auth-user-pass creds.txt openvpn3 session-start komandari eta emaitza bera da, bezero berriagoak ez baitu fitxategia irakurtzen duen faserik. Uko egitea nahita egindakoa da: kredentzialak saio batekoak dira, eta saioa zerbitzu batek sortzen du, ez zure terminaleko prozesuak. Aukera ezazu eskaera interaktiboaren eta karga automatikoaren laguntzailearen artean, eta jakin zer gordetzen duen bakoitzak.

Zergatik ez duen gordetako fitxategiak inora joaterik

Diseinu berriagoan, konfigurazioaren kudeaketa eta saioen kudeaketa sistema-busaren bidez hitz egiten duten zerbitzu bereiziak dira. Bereizte horri esker, erabiltzaile arrunt batek saio bat has dezake daemon pribilegiatu batek haren izenean pasahitz-fitxategi babestu bat irakurtzeko beharrik gabe. Fitxategietan oinarritutako kredentzialek ez dute tokirik modelo horretan, ez baitago daemonaren aldean horiek irakurriko lituzkeen hasierarik. Uko egitea arkitekturaren ondorioa da, ez falta den funtzio bat.

Merezi du patroi zaharrari izena ematea, ahazteko errazagoa izan dadin: profilak kredentzial-fitxategi bat aipatzen du, eta daemonak tunela hasten denean irakurtzen du. Eredu berrian, kredentzialak saio batenak dira eta saio hori hasten denean ematen dira. openvpn3 session-start --config work.ovpn komandak haiek eskatzen ditu, eta --auth-user-pass creds.txt baztertu egiten da, bide horretan ezerk ez bailuke fitxategia irekiko. Aurkitzen duzun 2.x errezeta bakoitzak jada existitzen ez den fase bat suposatzen du.

Konfigurazioa eta guneko ezarpen lokalak ere bereizita daude, eta horrek bigarren sorpresa azaltzen du. Profila osoa dirudi, baina sortzen duen konexioak ez du bideratze- eta ebazpen-konfiguraziorik. Zati horiek guneko ezarpen lokal gisa aplikatzen dira, inportatutako fitxategitik bereizita.

Eskaeraren bidea eta uzten duen saioa

Pasahitza saioa hastean ematea da aurreikusitako lan-fluxua. Bezeroak behin galdetzen du, kredentzialak saioaren backendiari ematen dizkio eta jarraitzen du:

openvpn3 session-start --config work.ovpn
openvpn3 sessions-list

Bide horretatik ez da ezer diskora idazten. Saioak terminala itxi ondoren ere lanean jarraitzen du, eta horrek harritzen ditu prozesua beren shell-arekin hiltzea espero dutenak. Hori da, hain zuzen, saioen kudeaketa zerbitzu batera eramatearen arrazoia. Saioak berau eskatu zuen terminala baino gehiago irauten du, eta esplizituki gelditu behar da.

Mahai gainean pertsona bat duen lan-estazio batentzat, hau da aukerarik seguruena ere, ez baitago babestu edo ahaztu beharreko gordetako sekreturik. Inor ez dagoen tokietan soilik da desegokia.

Automatizazioa teklatuan inor gabe

Makina batek inor gabe konektatu behar duen tokietan, proiektuak openvpn3-autoload eskaintzen du. Profilen direktorio bat eta profil bakoitzeko deskriptore egoki bat irakurtzen ditu, eta deskriptoreak kredentzialak testu hutsean ematen ditu. Laguntzailea binario bereizi bat da, normalean /usr/sbin/openvpn3-autoload helbidean, ez session-start komandako bandera bat. Hori konfiguratzeak direktorioa sortzea, profila deskriptoreak espero duen izenarekin kopiatzea eta deskriptorea idaztea esan nahi du.

Erabiltzaile bakoitzeko konfigurazioak itxura hau du, eta saioaren jabe izango den kontu gisa exekutatzen da. Direktorioaren moduak beste erabiltzaile lokalak kanpoan uzten ditu:

mkdir -m700 -p ~/.openvpn3/autoload
cp work.ovpn ~/.openvpn3/autoload/client.conf
$EDITOR ~/.openvpn3/autoload/client.autoload

Deskriptoreak kredentzialak izendatzen ditu eta abio automatikoa eskatzen du. Mantendu pasahitzaren balioa bertsio-kontroletik kanpo:

{
  "autostart": true,
  "user-auth": {
    "autologin": true,
    "username": "svc-vpn",
    "password": "change-this-value"
  }
}

Gero deitu laguntzaileari behin eta egiaztatu saioa agertzen dela. Bigarren komandoa egiaztapena da, ez beste konfigurazio-urrats bat:

/usr/sbin/openvpn3-autoload --directory ~/.openvpn3/autoload
openvpn3 sessions-list

Abioan, openvpn3-autoload.service izeneko unitate paketatuak sistema osorako direktorioa erabiltzen du, /etc/openvpn3/autoload, ez erabiltzaile bakoitzekoa. Kokaleku horrek root jabaria eta modu zorrotzagoa behar ditu, eta deskriptoreak pasahitza testu argian gordetzen du oraindik. Konpromisoa argia da: pasahitza orain diskoan dago, beraz tratatu direktorio hori sekretu gisa, baztertu hostoz kanpoko babeskopietatik, eta aukeratu bide interaktiboa pertsona bat badago.

Pasahitz-hutsegiteak diruditen bus-hutsegiteak

Kredentzialei egozten zaizkien hutsegite batzuk ez dira batere halakoak. Zerbitzuaren aktibazio-bidea aipatzen duen baimen-errore batek bi gauzetako bat esan nahi du: backend-a ez dago martxan, edo deitzaileak ez du hura aktibatzeko baimenik. Profilaren edozein aldaketak ez du bat ere aldatuko. Egiaztatu zerbitzuaren egoera eta bidalitako bus-politika konfigurazioa ukitu aurretik.

Beheko komandoek biak bereizten dituzte. Lehenak backend-a martxan dagoen ala ez jakinarazten du; bigarrenak azken bus-erroreak erakusten ditu:

systemctl status openvpn3-service-client
journalctl -b -u openvpn3-service-client --no-pager | tail -20

Beste oker-irakurketa ohikoa agertu eta berehala desagertzen den saioa da. Eredu horrek normalean esan nahi du guneko ezarpen lokalak ez zirela inoiz aplikatu, beraz tunela erabilgarri egiten duten bideratze- eta ebazpen-aldaketarik gabe igo zen. Irakurri sekuentzia, ez azken lerroa: saioa sortu zen, konektatutako egoerara iritsi zen eta bizirik iraun zuen ala ez hiru gertaera bereizi dira.

Bezero zaharra oraindik erabiltzen denean

2.x bezeroak kredentzial-fitxategi bat onartzen du oraindik, eta giltza-sortak haren eskaerari erantzun diezaioke sekretua inoiz diskora iritsi gabe. Bilgarri batek sarrera ebazten du, beraz fitxategiak bilaketa izendatzen du, ez pasahitza. Antolaketa honek desblokeatutako giltza-sorta bat behar du, eta saioa hasteko sesiorik gabeko edukiontzi batek edo inor saioa hasi aurretik abiatzen den unitate batek ezin dute hori eskaini. Orduan bilaketa-tresnak idatz ezin duen bilduma baten berri ematen du, beraz errorea kredentzial-hutsegitea dirudi, giltza-sortaren hutsegitea denean.

Hori guztia eraiki aurretik, egiaztatu profilaren keepalive ezarpen batek berrabiarazteko beharra erabat kentzen duen. Zutik mantentzen den saio batek ez du inoiz automatikoki egin nahi duzun eskaerara iristen.