OpenVPN auth-nocache: šta se dešava pri sljedećoj prijavi

Uključite auth-nocache i upozorenje o keširanju lozinke nestaje, zajedno s kopijom vjerodajnica koju je OpenVPN držao za sljedeće pregovaranje. Hoće li to postati upit, tiha ponovna prijava ili prekinuti tunel, zavisi od toga odakle vjerodajnice dolaze drugi put. Zato je ovo poređenje oblika postavljanja, a ne presuda o opciji. Pročitajte oblik koji zaista pokrećete prije nego uredite bilo koji profil.

Odakle mora doći drugi skup vjerodajnica

OpenVPN primjenjuje auth-nocache na tajne koje prikupljaju auth-user-pass i askpass: nakon upotrebe proces ih odbacuje umjesto da ih drži za sljedeće rukovanje. Pregovaranje dolazi po tajmeru, podrazumijevano jednom na sat, pa drugi zahtjev stiže mnogo nakon što je osoba koja je upisala lozinku otišla. Ta praznina je cijela priča. Ako keširanje ostane uključeno, klijent ponavlja sačuvanu kopiju bez pitanja bilo koga; ako je isključeno, mora naći tajnu negdje drugdje ili pasti.

Zato popišite svako mjesto odakle tajna može doći u tom trenutku i budite iskreni o tome koja od njih postoje na hostu. Osoba na terminalu, datoteka koju auth-user-pass ili askpass mogu čitati, ili sesijski token koji izda server tri su koja su ovdje važna. Ako nijedno nije dostupno, pregovaranje pada sat nakon promjene, a ne u trenutku kada ste je napravili.

Tri oblika, tri tačke otkaza

Desktop klijent s osobom ispred njega je blagi slučaj: upit se vraća, neko ponovo upiše lozinku, a cijena je pažnja. Servis, kontejner ili ruter koji pokreće OpenVPN bez terminala je grubi slučaj, jer nema koga da odgovori i veza koja je nekad bila tiha sada prekida tunel. Hibrid stoji između ta dva i ponaša se kao desktop slučaj dok ne nestane sesija koja je mogla odgovoriti na upit. Razlikuje ih ne to da li je GUI instaliran, nego to da li izvor vjerodajnica postoji u trenutku pregovaranja.

Preslikajte svoje postavljanje na jedan od ta tri prije nego bilo šta promijenite, jer je savjet koji nađete na internetu gotovo uvijek napisan za prvi. Primjena desktop odgovora na servis bez terminala je način na koji tunel koji je mjesecima radio počinje padati svakog sata.

Direktiva ili zastavica: izaberite jedno i znajte šta ste koristili

U profilu je auth-nocache zasebna linija; u pozivu koji izričito navodi profil to je zastavica u tom komandnom redu, a OpenVPN priručnik navodi oba oblika. Oba rade istu stvar sa zadržavanjem vjerodajnica i nijedno ne dira tip interfejsa niti popravlja nepovezano upozorenje u istom logu. Razlika je u trajnosti: zastavica pokriva samo to pokretanje, pa servis restartovan iz unit datoteke ili omotača neće je imati osim ako je omotač također proslijedi.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Odlučite koji artefakt posjeduje postavku, promijenite je tamo i nigdje drugdje. Profil uređen na laptopu plus systemd unit koji ga nadjačava zastavicom je par koji proizvodi protivrječno ponašanje nakon restarta.

Datoteka s vjerodajnicama premješta tajnu umjesto da je briše

Ako auth-user-pass usmjerite na datoteku, svako kasnije pregovaranje dobija izvor, a lozinka završava negdje gdje preživljava restarte. Pitajte ko može čitati tu datoteku, može li je demon još čitati nakon odricanja privilegija i šta se dešava kada je datotečni sistem montiran samo za čitanje ili pregled kontejnera sakrije putanju. Tajna na disku i tajna u memoriji različiti su problemi, a rješavanje jednog ostavlja drugo na mjestu. Rotacija je korak koji se preskače: lozinka promijenjena na serveru ali ne u datoteci daje otkaz koji se čita kao mrežni kvar.

Držite datoteku u vlasništvu računa koji pokreće demon, čitljivu nikome drugom i izvan sigurnosnih kopija koje napuštaju host. OpenVPN-ova serverska opcija auth-gen-token daje klijentu sesijski token nakon uspješne prijave, što je manja stvar za ostavljanje okolo od lozinke računa. Upišite korak rotacije pored datoteke u svakom slučaju, jer datoteka obično nadživi osobu koja ju je napravila.

Produžavanje pregovaranja pomjera cijenu, ne uklanja je

Drugi predlog je podići reneg-sec dok upit ne postane dovoljno rijedak da se ignorira. To prepisuje raspored rotacije ključeva sesije i gura isti problem vjerodajnica u kasniji, manje predvidiv trenutak; ne stvara izvor vjerodajnica. Politiku koja obnavlja ključeve po rasporedu s razlogom ne treba opuštati samo da bi se izbjeglo upisivanje lozinke.

Testirajte ponovno povezivanje, a ne sesiju u kojoj sjedite, jer živa sesija ništa ne dokazuje. Ispustite tunel sa serverske strane ili restartujte klijentski servis i gledajte šta sljedeće pregovaranje radi kad nikoga nema za tastaturom. Ako se ponovo poveže, navedite mehanizam koji je dao tajnu; ako ne, našli ste stvarnu cijenu opcije na ovom hostu. Svaki ishod vam daje odgovor koji vrijedi tokom prekida umjesto onog koji je vrijedio tokom testiranja.

Na upravljanoj floti, vlasnik postavljanja treba da zna tri stvari: odakle dolaze vjerodajnice, gdje se čuvaju i ko ih rotira. Ako je bilo koji od tih odgovora osoba koja je podesila host, opcija tamo još nije sigurna.