auth-nocache અને ક્રેડેન્શિયલ ફાઇલ: મદદ કરે કે નુકસાન?

OpenVPN શરૂ થતી વખતે એક ચેતવણી છાપે છે જે સૂચવે છે auth-nocache, અને લલચાવતો પ્રતિભાવ એ છે કે વિકલ્પ ઉમેરીને લીટી અદૃશ્ય થતી જોવી. એ સલાહ ઇન્ટરેક્ટિવ લોગિન ધારે છે. જ્યારે વપરાશકર્તાનામ અને પાસવર્ડ ફાઇલમાં રહેવા લાગે છે, ત્યારે સરખામણી બદલાય છે: વિકલ્પ ટકાઉ નકલને સુરક્ષિત રાખવાનું બંધ કરે છે, અને વિશેષાધિકાર છોડતા ક્લાયન્ટ પર તે પછીથી ફરી વાટાઘાટ તોડી શકે છે. પ્રોફાઇલ સંપાદિત કરતા પહેલા બે સંગ્રહ મોડેલ અલગ રાખવા યોગ્ય છે.

ક્રેડેન્શિયલ વિનંતીનો જવાબ આપવાની બે રીતો

પ્રથમ મોડેલ એ છે કે વ્યક્તિ ટર્મિનલમાં ક્રેડેન્શિયલ લખે છે, અથવા સેશન માટે તેમને રાખતું સંચાલન ઇન્ટરફેસ. OpenVPN એ નકલ રાખે છે જેથી આગલી ફરી વાટાઘાટને ફરી પૂછ્યા વગર જવાબ આપી શકે, અને ચેતવણી બરાબર એ જ વિશે છે. ડિસ્ક પર કંઈ સામેલ નથી, તેથી રક્ષણ કરવાની એકમાત્ર વસ્તુ મૂલ્ય રાખતી પ્રક્રિયા છે. ક્લાયન્ટ બંધ કરો અને નકલ તેની સાથે જતી રહે છે.

બીજું મોડેલ ફાઇલ તરફ ઇશારો કરતું auth-user-pass છે, જ્યાં ફાઇલ જ ભંડાર છે અને મૂલ્યની જરૂર પડે ત્યારે ક્લાયન્ટ તેને વાંચે છે. અહીં મહત્વનું જોખમ પ્રક્રિયાની મેમરી નહીં, પણ તે ફાઇલની પરવાનગીઓ અને માલિકી છે. શરૂઆતની ચેતવણી કન્ફિગના નિર્દેશોમાંથી આવે છે, તમે પાસવર્ડ કેવી રીતે આપો છો તેની તપાસમાંથી નહીં, તેથી તે બંને મોડેલમાં દેખાય છે અને કોઈ તરફ ઇશારો કરતી નથી.

આ સરખામણીનું બાકીનું તે વિભાજનમાંથી આવે છે: એક મોડેલ માટે મેમરી સંચાલન, બીજા માટે ફાઇલ સંચાલન અને પ્રક્રિયા ઓળખ.

auth-nocache ખરેખર શું દૂર કરે છે

ઇન્ટરેક્ટિવ લોગિન સાથે, --auth-nocache વપરાયા પછી સંગ્રહિત નકલને મેમરીમાંથી દૂર કરે છે. ખર્ચ એ છે કે દરેક ફરી વાટાઘાટ અંતરાલે નવી વિનંતી, કારણ કે આગલો રાઉન્ડ દૂર કરેલી વસ્તુ ફરી વાપરી શકતો નથી.

ફાઇલ આધારિત લોગિનમાં ક્લાયન્ટ ફાઇલ ફરી વાંચી શકે છે, તેથી દૂર કરવું મોટે ભાગે અદૃશ્ય છે. તે એક જ જગ્યાએ દૃશ્યમાન થાય છે જ્યાં લોકો તેની અપેક્ષા રાખતા નથી: ડેમન વિશેષાધિકાર છોડ્યા પછી, જો ક્રેડેન્શિયલ ફાઇલ હવે જે એકાઉન્ટ હેઠળ ચાલે છે તેના માટે વાંચી શકાય તેવી ન હોય.

વિકલ્પ ઉમેરો કારણ કે તમે એ વિનિમય સમજો છો, ચેતવણી દેખાઈ તે કારણે નહીં. લોગ શાંત કરવા ઉમેરાયેલો વિકલ્પ એવો વિકલ્પ છે જેની અસર કોઈએ માપી નથી.

ફાઇલ આધારિત માર્ગ ક્યાં તૂટે છે

ટનલ ઉપકરણ ખોલવા root તરીકે શરૂ થઈને પછી user અને group પર જતો ક્લાયન્ટ ક્રેડેન્શિયલ ફાઇલ બે વાર વાંચે છે: એક વાર બદલાવ પહેલા, એક વાર પછીની ફરી વાટાઘાટમાં. જો ફાઇલ મોડ 600 માં હોય અને root ની માલિકીની હોય, તો બીજું વાંચન નિષ્ફળ જાય છે, અને નિષ્ફળતા એક કલાક પછી સર્વર સમસ્યા જેવી દેખાતી પ્રમાણીકરણ ભૂલ તરીકે દેખાય છે. ફરી વાટાઘાટ અંતરાલ આસપાસ ક્લાયન્ટ લોગ તપાસો, પછી એકાઉન્ટ અને ફાઇલ સાથે તપાસો.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

બંને લીટીઓ મહત્વની છે. પહેલી કહે છે કોણ ફાઇલ વાંચી શકે, બીજી કહે છે ચાલતું ડેમન ખરેખર કોણ છે, અને તેમની વચ્ચેની અસંગતિ એવી નિષ્ફળતા સમજાવે છે જે પાસવર્ડ ફરી લખવાથી સુધરશે નહીં.

વ્યવહારુ સુધારા ભપકાદાર નથી: ફાઇલને એવી ડિરેક્ટરી અને માલિક પાસે ખસેડો જે ડેમનનું એકાઉન્ટ વાંચી શકે, અથવા વિશેષાધિકારપ્રાપ્ત વાંચન રાખો અને ખાતરી કરો કે તમારો ક્લાયન્ટ ફક્ત એક જ વાર વાંચે છે. ફાઇલને બધા માટે વાંચી શકાય તેવી કરીને તેને ઉકેલો નહીં.

જે કેસને ખરેખર વિકલ્પ જોઈએ છે

એકવાર વપરાતા કોડ સાથેનું લોગિન auth-nocache બીજા કારણસર ઇચ્છે છે. એકવાર વપરાતો કોડ પહેલા પ્રમાણીકરણમાં ખર્ચાઈ જાય છે, તેથી કેશ કરેલી નકલ આગલી ફરી વાટાઘાટમાં નકામી છે અને જૂનું મૂલ્ય ફરી ચલાવી પણ શકાય.

આ ક્રેડેન્શિયલના પ્રકાર વિશેનો પ્રશ્ન છે, તે ક્યાં સંગ્રહિત છે તે વિશે નહીં. સુરક્ષિત ફાઇલમાંનો સ્થિર પાસવર્ડ વિરુદ્ધ પ્રોફાઇલ ધરાવે છે: તે દરેક ફરી વાટાઘાટમાં વાંચી શકાય તેવો હોવો જોઈએ, અને જે સુરક્ષા જોઈએ છે તે ફાઇલ પર છે.

આ બે કારણો પ્રોફાઇલ ટિપ્પણીઓમાં અલગ રાખો, નહીં તો આગલો સંચાલક ધારશે કે વિકલ્પ તેના પોતાના પસંદ કરેલા કારણસર છે.

એક નિર્ણયમાં સરખામણી

વ્યક્તિ હાજર હોય અને તાજગી મહત્વની હોય ત્યારે ઇન્ટરેક્ટિવ મોડેલ પસંદ કરો, અને વારંવારની વિનંતીને તેનો ખર્ચ ગણો. ક્લાયન્ટ દેખરેખ વગર ચાલે ત્યારે ફાઇલ મોડેલ પસંદ કરો, અને મહેનત માલિકી, મોડ અને વિશેષાધિકાર છોડવામાં ખર્ચો.

કોઈ પણ મોડેલ સંગ્રહિત પાસવર્ડને એકલા સુરક્ષિત બનાવતું નથી, અને કોઈ પણ શરૂઆતની ચેતવણીને અર્થપૂર્ણ બનાવતું નથી.

જો ચેતવણી પ્રોફાઇલ ખોલવાનું એકમાત્ર કારણ હોય, તો અસ્પષ્ટ વિકલ્પને બદલે નિર્ણય નોંધો: ક્રેડેન્શિયલ એવી ફાઇલમાંથી આવે છે જે ડેમનનું એકાઉન્ટ વાંચી શકે, ફરી વાટાઘાટ સફળ થતી જોવાઈ છે, અને OpenVPN 2.6 માર્ગદર્શિકાનો ફરી વાટાઘાટ વિભાગ અંતરાલ બદલતા પહેલા વાંચવામાં આવ્યો છે. એ નોંધ કોઈપણ એક ફ્લેગ કરતાં વધુ ટકે છે.