OpenVPN auth-nocache: hvað gerist við næstu innskráningu

Kveiktu á auth-nocache og viðvörunin um skyndiminni lykilorðsins hverfur, ásamt afritinu af skilríkjunum sem OpenVPN hélt fyrir næstu endursamningaviðræður. Hvort það verður beiðni, hljóðlát endurtilraun eða rofinn göng, fer eftir því hvaðan skilríkin koma í annað sinn. Þess vegna er þetta samanburður á uppsetningarformum en ekki dómur um valkostinn. Lestu formið sem þú keyrir í raun áður en þú breytir einhverri sniðskrá.

Hvaðan annað skilríkjasettið verður að koma

OpenVPN beitir auth-nocache á leyndarmálin sem auth-user-pass og askpass safna: þegar þau hafa verið notuð hendir ferlið þeim í stað þess að halda þeim fyrir næstu handabandi. Endursamningaviðræður koma á tímatakka, sjálfgefið einu sinni á klukkustund, svo önnur beiðnin kemur löngu eftir að sá sem sló inn lykilorðið er farinn. Það bil er öll sagan. Með skyndiminnið áfram kveikt spilar biðlarinn upp vistaða afritið án þess að spyrja neinn; með það slökkt verður hann að finna leyndarmálið annars staðar eða mistakast.

Listaðu því hvern stað þar sem leyndarmálið gæti komið frá á þeirri stundu, og vertu heiðarlegur um hver þeirra eru til á hýsilnum. Maður við skjáhermi, skrá sem auth-user-pass eða askpass geta lesið, eða setutákn sem þjónninn gefur út eru þau þrjú sem skipta máli hér. Ef ekkert þeirra er tiltækt mistekst endursamningaviðræðan klukkustund eftir breytinguna, ekki á þeirri stundu sem þú gerðir hana.

Þrjú form, þrír bilunarstaðir

Skjáborðsbiðlari með mann fyrir framan er milda tilfellið: beiðnin kemur aftur, einhver slær lykilorðið inn aftur, og kostnaðurinn er athygli. Þjónusta, gámur eða beinir sem keyrir OpenVPN án skjáhermis er harða tilfellið, því enginn er þar til að svara og endurtengingin sem var áður hljóðlát endar nú göngin. Blendingur situr á milli þeirra og hegðar sér eins og skjáborðstilfellið þar til setan sem gæti svarað beiðninni hverfur. Það sem skilur þau að er ekki hvort GUI er uppsett, heldur hvort uppspretta skilríkja er til á þeirri stundu sem endursamningaviðræðurnar eiga sér stað.

Kortleggðu uppsetninguna þína á eitt þessara þriggja áður en þú breytir einhverju, því ráðið sem þú finnur á netinu er næstum alltaf skrifað fyrir það fyrsta. Að beita skjáborðssvarinu á þjónustu án skjáhermis er leiðin sem göng sem virkuðu í mánuði byrja að hrynja á hverri klukkustund.

Tilskipun eða flagg: veldu annað og vitaðu hvort þú notaðir

Inni í sniðskrá er auth-nocache eigin lína; í kalli sem nefnir sniðskrá berum orðum er það flagg á þeirri skipunarlínu, og handbók OpenVPN telur upp bæði formin. Bæði gera það sama við varðveislu skilríkja, og hvorugt snertir tegund viðmótsins né lagar ótengda viðvörun í sama annálinu. Munurinn er varanleiki: flaggið nær aðeins yfir þá keyrslu, svo þjónusta sem er endurræst úr unit-skrá eða umbúðaskriptu hefur það ekki nema umbúðirnar sendi það líka.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Ákveddu hvaða gripur á stillinguna, breyttu henni þar og hvergi annars staðar. Sniðskrá sem breytt var á fartölvu ásamt systemd-unit sem hnekkir henni með flaggi er parið sem framleiðir misvísandi hegðun eftir endurræsingu.

Skilríkjaskrá færir leyndarmálið til í stað þess að eyða því

Að beina auth-user-pass að skrá gefur hverri síðari endursamningaviðræðu uppsprettu, og setur lykilorðið líka þar sem það lifir endurræsingar af. Spurðu hver geti lesið þá skrá, hvort dæmoninn geti enn lesið hana eftir að hafa látið af sér forréttindum, og hvað gerist þegar skráarkerfið er tengt lesandans eða gámaskoðun felur slóðina. Leyndarmál á diski og leyndarmál í minni eru mismunandi vandamál, og að leysa annað lætur hitt vera á sínum stað. Snúningur er skrefið sem er sleppt: lykilorð sem breytt er á þjóninum en ekki í skránni veldur bilun sem lesin er eins og netbilun.

Haltu skránni í eigu þess reiknings sem keyrir dæmoninn, ólæsilega fyrir alla aðra, og utan þeirra öryggisafrita sem yfirgefa hýsilinn. Valmöguleikinn auth-gen-token á þjónahlið OpenVPN gefur biðlaranum setutákn eftir árangursríka innskráningu, sem er minna mál að láta liggja en lykilorð reikningsins. Skrifaðu snúningsskrefið við hlið skrárinnar hvort sem er, því skráin lifir yfirleitt lengur en sá sem bjó hana til.

Að teygja endursamningaviðræðurnar færir kostnaðinn, fjarlægir hann ekki

Hin tillagan er að hækka reneg-sec þar til beiðnin er nógu sjaldgæf til að hunsa. Það endurskrifar áætlun setunnar um snúning lykla og ýtir sama skilríkjavandanum á seinna, ófyrirsjáanlegra augnablik; það býr ekki til uppsprettu skilríkja. Stefna sem endurnýjar lykla samkvæmt áætlun af einhverri ástæðu ætti ekki að vera slakað á bara til að komast hjá því að slá inn lykilorð.

Prófaðu endurtenginguna frekar en setuna sem þú situr í, því lifandi setan sannar ekkert. Láttu göngin falla frá þjónahliðinni, eða endurræstu biðlaraþjónustuna, og fylgstu með hvað næstu endursamningaviðræður gera þegar enginn er við lyklaborðið. Ef það tengist aftur skaltu nefna fyrirkomulagið sem útvegaði leyndarmálið; ef ekki hefur þú fundið raunverulegan kostnað valmöguleikans á þessum hýsli. Hvort tveggja gefur þér svar sem heldur í truflun í stað þess sem hélt í prófunum.

Á stýrðum flota ætti sá sem á uppsetninguna að geta nefnt þrjá hluti: hvaðan skilríkin koma, hvar þau eru geymd og hver snýr þeim. Ef eitthvert þessara svara er maðurinn sem setti hýsilinn upp, er valkosturinn ekki enn öruggur þar.