OpenVPN auth-nocache: келесі кіру кезінде не болады

auth-nocache қосыңыз, сонда құпиясөзді кэштеу туралы ескерту жоғалады, OpenVPN келесі қайта келіссөз үшін ұстаған тіркелгі деректерінің көшірмесімен бірге. Бұл сұрауға, тыныш қайта әрекетке немесе үзілген туннельге айнала ма, екінші рет тіркелгі деректері қайдан келетініне байланысты. Сондықтан бұл орналастыру нысандарын салыстыру, опция туралы үкім емес. Кез келген профильді өңдемес бұрын нақты іске қосып жатқан нысанды оқыңыз.

Тіркелгі деректерінің екінші жиынтығы қайдан келуі керек

OpenVPN auth-nocache-ті auth-user-pass пен askpass жинаған құпияларға қолданады: пайдаланылған соң процесс оларды келесі қол алысу үшін ұстамай, тастайды. Қайта келіссөз таймермен, әдепкіде сағатына бір рет келеді, сондықтан екінші сұрау құпиясөзді терген адам әлдеқашан кеткеннен кейін жетеді. Сол айырма — бүкіл әңгіме. Кэш қосулы қалса, клиент ешкімнен сұрамай сақталған көшірмені қайта ойнатады; кэш өшірілсе, құпияны басқа жерден табуы немесе сәтсіздікке ұшырауы керек.

Сондықтан сол сәтте құпия келуі мүмкін барлық жерді тізіп шығыңыз және олардың қайсысы хостта бар екеніне адал болыңыз. Терминалдағы адам, auth-user-pass немесе askpass оқи алатын файл, немесе сервер берген сессия токені — осы үшеуі маңызды. Егер олардың ешқайсысы қолжетімсіз болса, қайта келіссөз өзгерістен бір сағат кейін сәтсіз аяқталады, сіз оны жасаған сәтте емес.

Үш нысан, үш ақау нүктесі

Алдында адам отырған жұмыс үстелі клиенті — жеңіл жағдай: сұрау қайтады, біреу құпиясөзді қайта тереді, ал құны — назар. Терминалсыз OpenVPN іске қосатын қызмет, контейнер немесе маршрутизатор — қатал жағдай, өйткені жауап беретін ешкім жоқ және бұрын тыныш болған қайта қосылу енді туннельді аяқтайды. Гибрид екеуінің ортасында тұрады және сұрауға жауап бере алатын сессия жоқ болғанша жұмыс үстелі жағдайы сияқты әрекет етеді. Оларды GUI орнатылғаны емес, қайта келіссөз сәтінде тіркелгі деректерінің көзі бар-жоғы ажыратады.

Бірдеңе өзгертпес бұрын орналастыруыңызды осы үшеуінің біріне сәйкестендіріңіз, өйткені интернеттен табатын кеңес әрдайым дерлік біріншісі үшін жазылған. Жұмыс үстелінің жауабын терминалсыз қызметке қолдану — айлар бойы жұмыс істеген туннельдің сағат сайын құлай бастауының жолы.

Директива немесе жалауша: біреуін таңдап, қайсысын қолданғаныңызды біліңіз

Профиль ішінде auth-nocache жеке жол; профильді анық атайтын шақыруда ол сол команда жолындағы жалауша, ал OpenVPN нұсқаулығы екі нысанды да тізеді. Екеуі де тіркелгі деректерін сақтауға бірдей әсер етеді және ешқайсысы интерфейс түріне тимейді немесе сол журналдағы байланыссыз ескертуді түземейді. Айырмашылық — тұрақтылықта: жалауша тек сол іске қосылуды қамтиды, сондықтан unit файлынан немесе қаптама скриптінен қайта іске қосылған қызмет оны қаптама да бермесе, иеленбейді.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Параметр қай артефактіге тиесілі екенін шешіңіз, оны сол жерде өзгертіңіз, басқа жерде емес. Ноутбукте өңделген профиль және оны жалаушамен қайта жазатын systemd unit — қайта жүктеуден кейін қарама-қайшы мінез тудыратын жұп.

Тіркелгі деректерінің файлы құпияны өшірудің орнына көшіреді

auth-user-pass-ті файлға бағыттау әр кейінгі қайта келіссөзге көз береді, сондай-ақ құпиясөзді қайта жүктеулерден аман қалатын жерге қояды. Сол файлды кім оқи алатынын, демон артықшылықтардан бас тартқаннан кейін оны әлі оқи алатынын және файл жүйесі тек оқуға арналып тіркелгенде немесе контейнер көрінісі жолды жасырғанда не болатынын сұраңыз. Дискідегі құпия мен жадтағы құпия — әртүрлі мәселелер, және біреуін шешу екіншісін орнында қалдырады. Ротация — өткізіп жіберетін қадам: серверде өзгертілген, бірақ файлда өзгертілмеген құпиясөз желі ақауы сияқты оқылатын сәтсіздік тудырады.

Файлды демонды іске қосатын есептік жазбаның меншігінде ұстаңыз, өзге ешкім оқи алмайтындай етіп, және хосттан кететін сақтық көшірмелерден тыс ұстаңыз. OpenVPN-нің серверлік жағындағы auth-gen-token опциясы сәтті кіруден кейін клиентке сессия токенін береді, бұл есептік жазба құпиясөзінен гөрі айналада қалдыруға кішірек нәрсе. Ротация қадамын файлдың қасына қалай болса да жазыңыз, өйткені файл әдетте оны жасаған адамнан ұзақ өмір сүреді.

Қайта келіссөзді созу шығынды жылжытады, жоймайды

Басқа ұсыныс — reneg-sec-ті сұрауды елемеуге болатындай сирек болғанша көтеру. Бұл сессияның кілт ротациясының кестесін қайта жазады және сол тіркелгі деректері мәселесін кейінгі, болжауға келмейтін сәтке итереді; ол тіркелгі деректерінің көзін жасамайды. Кілттерді қандай да бір себеппен кесте бойынша жаңартатын саясатты тек құпиясөз терудан қашу үшін босаңсытуға болмайды.

Отырған сессияны емес, қайта қосылуды сынаңыз, өйткені тірі сессия ештеңені дәлелдемейді. Туннельді сервер жағынан құлатыңыз немесе клиент қызметін қайта іске қосыңыз және пернетақтада ешкім жоқ кезде келесі қайта келіссөз не істейтінін бақылаңыз. Егер ол қайта қосылса, құпияны берген механизмді атаңыз; егер жоқ болса, осы хостта опцияның нақты құнын таптыңыз. Екі нәтиженің қайсысы болса да сізге сынақ кезінде ғана емес, іркіліс кезінде де күшінде болатын жауап береді.

Басқарылатын флотта орналастырудың иесі үш нәрсені атай білуі керек: тіркелгі деректері қайдан келеді, қайда сақталады және кім ротациялайды. Егер сол жауаптардың қайсысы болса да хостты баптаған адам болса, опция онда әзірге қауіпсіз емес.