OpenVPN auth-nocache: რა ხდება შემდეგ შესვლისას

ჩართეთ auth-nocache და პაროლის ქეშირების გაფრთხილება ქრება, იმ ავტორიზაციის მონაცემების ასლთან ერთად, რომელსაც OpenVPN შემდეგი ხელახალი მოლაპარაკებისთვის ინახავდა. ეს გახდება მოთხოვნა, წყნარი ხელახალი ცდა თუ გაწყვეტილი გვირაბი, დამოკიდებულია იმაზე, საიდან მოდის მონაცემები მეორედ. ამიტომ ეს განლაგების ფორმების შედარებაა და არა ვერდიქტი ამ პარამეტრზე. წაიკითხეთ ის ფორმა, რომელსაც რეალურად ატარებთ, სანამ რომელიმე პროფილს შეასწორებთ.

საიდან უნდა მოვიდეს ავტორიზაციის მონაცემების მეორე ნაკრები

OpenVPN auth-nocache-ს უკეთებს auth-user-pass-ისა და askpass-ის მიერ შეგროვილ საიდუმლოებებს და გამოყენების შემდეგ პროცესი მათ ყრის, არ ინახავს შემდეგი ხელის ჩამორთმევისთვის. ხელახალი მოლაპარაკება ტაიმერით მოდის, ნაგულისხმევად საათში ერთხელ, ამიტომ მეორე მოთხოვნა მოდის მას შემდეგ, რაც პაროლი შემყვანი ადამიანი დიდი ხანია წავიდა. ეს შუალედი მთელი ისტორიაა. ქეშის ჩართული დატოვებისას კლიენტი იმეორებს შენახულ ასლს არავის კითხვის გარეშე, ხოლო გამორთვისას მან უნდა იპოვოს საიდუმლო სხვაგან ან ჩავარდეს.

ამიტომ ჩამოთვალეთ ყველა ადგილი, საიდან შეიძლება ამ მომენტში მოვიდეს საიდუმლო, და იყავით გულახდილი, რომელი მათგანი არსებობს ჰოსტზე. ადამიანი ტერმინალთან, ფაილი, რომლის წაკითხვაც შეუძლია auth-user-pass-ს ან askpass-ს, ან სერვერის გამოცემული სესიის ტოკენი არის სამი, რომელიც აქ მნიშვნელოვანია. თუ არც ერთი მათგანი არ არის ხელმისაწვდომი, ხელახალი მოლაპარაკება ჩავარდება ცვლილებიდან საათში და არა იმ მომენტში, როცა თქვენ ის გააკეთეთ.

სამი ფორმა, სამი წარუმატებლობის წერტილი

სამაგიდო კლიენტი წინ მდგომი ადამიანით მსუბუქი შემთხვევაა: მოთხოვნა ბრუნდება, ვიღაც კვლავ შეიყვანს პაროლს და ღირებულება ყურადღებაა. სერვისი, კონტეინერი თუ როუტერი, რომელიც OpenVPN-ს ტერმინალის გარეშე ატარებს, მკაცრი შემთხვევაა, რადგან პასუხისმგებელი არავინაა და ის გადაერთოება, რომელიც ადრე წყნარი იყო, ახლა გვირაბს ამთავრებს. ჰიბრიდი ორივეს შორისაა და იქცევა როგორც სამაგიდო შემთხვევა, სანამ გაქრება სესია, რომელსაც შეეძლო მოთხოვნაზე პასუხი. მათ არ ჰყოფს GUI-ის დაყენება, არამედ ის, არსებობს თუ არა ავტორიზაციის მონაცემების წყარო ხელახალი მოლაპარაკების დროს.

სანამ რამეს შეცვლით, მიაბით თქვენი განლაგება ამ სამიდან ერთს, რადგან ინტერნეტში ნაპოვნი რჩევა თითქმის ყოველთვის პირველისთვისაა დაწერილი. სამაგიდო პასუხის ტერმინალის გარეშე სერვისზე გამოყენება ის გზაა, რომლითაც თვეების განმავლობაში მომუშავე გვირაბი ყოველ საათში ცვივა.

დირექტივა თუ დროშა: აირჩიეთ ერთი და იცოდეთ რომელი გამოიყენეთ

პროფილის შიგნით auth-nocache ცალკე ხაზია; გამოძახებაში, რომელიც პროფილს ცხადად ასახელებს, ის ამ ბრძანების ხაზის დროშაა და OpenVPN-ის სახელმძღვანელო ორივე ფორმას ჩამოთვლის. ორივე ერთსა და იმავეს აკეთებს მონაცემების შენახვასთან და არც ერთი არ ეხება ინტერფეისის ტიპს და არ არემონტებს იმავე ჟურნალში არსებულ უკავშირო გაფრთხილებას. განსხვავება გამძლეობაა: დროშა მხოლოდ იმ გაშვებას ფარავს, ამიტომ unit ფაილიდან ან შემფუთავი სკრიპტიდან ხელახლა გაშვებულ სერვისს ის არ ექნება, თუ შემფუთავიც არ გადასცემს.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

გადაწყვიტეთ, რომელი არტეფაქტი ფლობს ამ პარამეტრს, შეცვალეთ იქ და არსად სხვაგან. ლეპტოპზე შესწორებული პროფილი და systemd-ის unit, რომელიც მას დროშით გადაფარავს, ის წყვილია, რომელიც გადატვირთვის შემდეგ წინააღმდეგობრივ ქცევას ქმნის.

ავტორიზაციის მონაცემების ფაილი საიდუმლოს გადაადგილებს და არა შლის

auth-user-pass-ის ფაილზე მიმართვა ყოველ შემდგომ ხელახალ მოლაპარაკებას წყაროს აძლევს და პაროლსაც იმ ადგილას დებს, რომელიც გადატვირთვებს გადაურჩება. ჰკითხეთ, ვის შეუძლია ამ ფაილის წაკითხვა, შეუძლია თუ არა დემონს მისი წაკითხვა უფლებების დათმობის შემდეგ და რა ხდება, როცა ფაილური სისტემა მხოლოდ-წაკითხვითაა მიმაგრებული ან კონტეინერის ხედი ბილიკს მალავს. საიდუმლო დისკზე და საიდუმლო მეხსიერებაში სხვადასხვა პრობლემაა, და ერთის გადაწყვეტა მეორეს თავის ადგილზე ტოვებს. როტაცია ის ნაბიჯია, რომელიც გამოტოვება: სერვერზე შეცვლილი, მაგრამ ფაილში არშეცვლილი პაროლი იწვევს ჩავარდნას, რომელიც ქსელურ ხარვეზად იკითხება.

შეინახეთ ფაილი დემონის გამშვები ანგარიშის საკუთრებაში, სხვისთვის წაუკითხავი და ჰოსტის დატოვებული სარეზერვო ასლების გარეთ. OpenVPN-ის სერვერული მხარის auth-gen-token პარამეტრი წარმატებული შესვლის შემდეგ კლიენტს სესიის ტოკენს აძლევს, რაც უფრო მცირე რამეა მის გვერდით დატოვება, ვიდრე ანგარიშის პაროლი. როტაციის ნაბიჯი მაინც ჩაწერეთ ფაილის გვერდით, რადგან ფაილი ჩვეულებრივ უფრო დიდხანს ცოცხლობს, ვიდრე მისი შემქმნელი.

ხელახალი მოლაპარაკების გაწელვა ხარჯს გადაადგილებს და არ აცილებს

სხვა წინადადებაა reneg-sec-ის აწევა, სანამ მოთხოვნა საკმარისად იშვიათი გახდება უგულებელყოფისთვის. ეს გადაწერს სესიის გასაღებების როტაციის გრაფიკს და იმავე მონაცემების პრობლემას უფრო გვიან, ნაკლებად პროგნოზირებად მომენტში უბიძგებს; ის არ ქმნის მონაცემების წყაროს. პოლიტიკა, რომელიც გასაღებებს გრაფიკით აახლებს რაიმე მიზეზით, არ უნდა შესუსტდეს მხოლოდ პაროლის აკრეფის თავიდან ასაცილებლად.

შეამოწმეთ ხელახალი დაკავშირება და არა ის სესია, რომელშიც ზიხართ, რადგან ცოცხალი სესია არაფერს ამტკიცებს. ჩამოწიეთ გვირაბი სერვერის მხრიდან ან გადატვირთეთ კლიენტის სერვისი და დააკვირდით, რას გააკეთებს შემდეგი ხელახალი მოლაპარაკება, როცა კლავიატურასთან არავინაა. თუ ის ხელახლა დაუკავშირდება, დაასახელეთ მექანიზმი, რომელმაც საიდუმლო მოგაწოდათ; თუ არა, თქვენ იპოვეთ ამ პარამეტრის ნამდვილი ფასი ამ ჰოსტზე. ორივე შედეგი გაძლევთ პასუხს, რომელიც შეფერხების დროს ძალაშია და არა ის, რომელიც ტესტირების დროს იყო ძალაში.

მართულ ფლოტში განლაგების მფლობელმა უნდა შეძლოს სამი რამის დასახელება: საიდან მოდის მონაცემები, სად ინახება და ვინ ატრიალებს მათ. თუ ამ პასუხებიდან რომელიმე ჰოსტის დამყენებელი ადამიანია, პარამეტრი იქ ჯერ არ არის უსაფრთხო.