auth-nocache және тіркелгі деректерінің файлы: көмектесе ме әлде зиян ба?

OpenVPN іске қосылғанда auth-nocache параметрін ұсынатын ескерту шығарады, ал азғызатын жауап — параметрді қосып, жолдың жоғалып бара жатқанын бақылау. Бұл кеңес интерактивті кіруді көздейді. Пайдаланушы аты мен құпиясөз файлда тұра бастағанда, салыстыру өзгереді: параметр тұрақты көшірмені қорғауды тоқтатады, ал артықшылықтардан бас тартатын клиентте ол кейінірек қайта келіссөзді бұзуы мүмкін. Профильді өңдеу алдында екі сақтау моделін бөлек ұстаған жөн.

Тіркелгі деректері сұранысына жауап берудің екі жолы

Бірінші модель — терминалда тіркелгі деректерін теретін адам немесе оларды сессия бойы ұстайтын басқару интерфейсі. OpenVPN сол көшірмені сақтайды, сондықтан келесі қайта келіссөзге қайта сұрамай жауап бере алады, ал ескерту дәл осы туралы. Дискіде ештеңе қатыспайды, сондықтан қорғауға тиіс жалғыз нәрсе — мәнді ұстап тұрған процесс. Клиентті жабыңыз, көшірме де онымен бірге жоғалады.

Екінші модель — файлға сілтейтін auth-user-pass , мұнда файл қойма болып табылады және клиент оны мән қажет болғанда оқиды. Мұнда маңызды әсер — процесс жады емес, сол файлдың рұқсаттары мен меншігі. Іске қосу ескертуі конфигурациядағы директивалардан шығады, құпиясөзді қалай беретініңізді тексеруден емес, сондықтан ол екі модельде де пайда болады және ешқайсысын нұсқамайды.

Бұл салыстырудың қалғаны сол бөлінуден туындайды: бір модель үшін жадты басқару, екіншісі үшін файлды басқару және процестің сәйкестігі.

auth-nocache шын мәнінде нені тастайды

Интерактивті кіру кезінде --auth-nocache пайдаланылғаннан кейін сақталған көшірмені жадтан жояды. Құны — әр қайта келіссөз аралығында жаңа сұраныс, өйткені келесі айналым тасталғанды қайта пайдалана алмайды.

Файлға негізделген кіруде клиент файлды қайта оқи алады, сондықтан тастау көбіне көрінбейді. Ол адамдар күтпейтін бір жерде көрінеді: демон артықшылықтардан бас тартқаннан кейін, егер тіркелгі файлы қазір ол жұмыс істеп жатқан тіркелгі үшін оқылатын болмаса.

Параметрді осы айырбасты түсінетіндіктен қосыңыз, ескерту пайда болғандықтан емес. Журналды тыныштандыру үшін қосылған параметр — әсерін ешкім өлшемеген параметр.

Файлға негізделген жол қай жерде сынады

Туннель құрылғысын ашу үшін root ретінде іске қосылып, содан кейін user және group күйіне ауысатын клиент тіркелгі файлын екі рет оқиды: бір рет ауысу алдында, бір рет кейінгі қайта келіссөзде. Егер файл 600 режимінде болса және root-қа тиесілі болса, екінші оқу сәтсіз аяқталады, ал сәтсіздік бір сағаттан кейін сервер мәселесіне ұқсайтын аутентификация қатесі ретінде көрінеді. Қайта келіссөз аралығының айналасында клиент журналын тексеріңіз, содан кейін тіркелгі мен файлды бірге тексеріңіз.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Екі жол да маңызды. Біріншісі файлды кім оқи алатынын айтады, екіншісі нақты жұмыс істеп тұрған демон кім екенін айтады, ал олардың арасындағы сәйкессіздік құпиясөзді қанша рет қайта терсеңіз де түзелмейтін сәтсіздікті түсіндіреді.

Практикалық түзетулер әсем емес: файлды демонның тіркелгісі оқи алатын қалта мен иеге көшіріңіз, немесе артықшылықты оқуды сақтап, клиентіңіз тек бір рет оқитынына көз жеткізіңіз. Файлды барлығына оқылатын етіп шешпеңіз.

Параметрді шынымен қалайтын жағдай

Бір реттік кодты кіру auth-nocache параметрін басқа себеппен қалайды. Бір реттік код бірінші аутентификацияда жұмсалады, сондықтан кэштегі көшірме келесі қайта келіссөзде пайдасыз, ал ескірген мән тіпті қайта ойнатылуы мүмкін.

Бұл тіркелгі деректерінің түрі туралы сұрақ, оның қайда сақталатыны туралы емес. Қорғалған файлдағы статикалық құпиясөздің кері профилі бар: ол әр қайта келіссөзде оқылуы керек, ал қажет қорғаныс файлдың өзінде.

Осы екі себепті профиль түсініктемелерінде бөлек ұстаңыз, әйтпесе келесі әкімші параметр өзі таңдар себеппен тұр деп ойлайды.

Бір шешімдегі салыстыру

Адам бар болса және жаңалық маңызды болса, интерактивті модельді таңдаңыз және қайталанатын сұранысты оның құны ретінде қабылдаңыз. Клиент қадағалаусыз жұмыс істесе, файл моделін таңдаңыз және күш-жігерді меншікке, режимге және артықшылықтардан бас тартуға жұмсаңыз.

Ешбір модель сақталған құпиясөзді өздігінен қауіпсіз етпейді және ешқайсысы іске қосу ескертуін мағыналы етпейді.

Егер ескерту профильді ашқан жалғыз себеп болса, түсіндірмесіз параметрдің орнына шешімді жазыңыз: тіркелгі деректері демонның тіркелгісі оқи алатын файлдан келеді, қайта келіссөздің сәтті өткені байқалды және аралықты өзгерту алдында OpenVPN 2.6 нұсқаулығының қайта келіссөз туралы бөлімі оқылды. Бұл жазба кез келген жеке жалаушадан ұзақ өмір сүреді.