OpenVPN auth-nocache: кийинки кирүүдө эмне болот

auth-nocache күйгүзсөңүз, сырсөздү кэштөө тууралуу эскертүү жоголот, OpenVPN кийинки кайра сүйлөшүү үчүн кармаган ыйгарым укук далилдеринин көчүрмөсү менен кошо. Бул суроо, тынч кайра аракет же үзүлгөн туннел болобу, экинчи жолу далилдер кайдан келерине байланыштуу. Ошондуктан бул жайгаштыруу формаларын салыштыруу, опция боюнча өкүм эмес. Кандайдыр бир профилди оңдоодон мурун иш жүзүндө иштетип жаткан форманы окуңуз.

Далилдердин экинчи топтому кайдан келиши керек

OpenVPN auth-nocache'ти auth-user-pass жана askpass чогулткан сырларга колдонот: колдонулгандан кийин процесс аларды кийинки кол алышуу үчүн кармабай таштайт. Кайра сүйлөшүү таймер менен, демейки боюнча саатына бир жолу келет, ошондуктан экинчи суроо сырсөздү терген адам көптөн бери кеткенден кийин жетет. Ошол ажырык — бүт окуя. Кэш күйүк турса, клиент эч кимден сурабастан сакталган көчүрмөнү кайра ойнотот; кэш өчүк болсо, сырды башка жерден табышы же ийгиликсиз болушу керек.

Ошондуктан ошол учурда сыр келиши мүмкүн болгон бардык жерлерди тизмелеп, алардын кайсынысы хостто бар экенине чынчыл болуңуз. Терминалдагы адам, auth-user-pass же askpass окуй алган файл, же сервер берген сессия токени — бул үчөө бул жерде маанилүү. Эгер алардын эч бири жеткиликсиз болсо, кайра сүйлөшүү өзгөртүүдөн бир саат кийин ийгиликсиз болот, сиз аны жасаган учурда эмес.

Үч форма, үч ийгиликсиздик чекити

Алдында адам турган жумуш үстөлү клиенти — жеңил учур: суроо кайтат, бирөө сырсөздү кайра терет, ал эми баасы көңүл. Терминалсыз OpenVPN иштеткен кызмат, контейнер же маршрутизатор — оор учур, анткени жооп берүүчү жок жана мурда тынч болгон кайра туташуу эми туннелди бүтүрөт. Гибрид экөөнүн ортосунда турат жана суроого жооп бере алган сессия жок болгонго чейин жумуш үстөлү учурундай жүрөт. Аларды GUI орнотулганы эмес, кайра сүйлөшүү учурунда далилдердин булагы бар-жогу ажыратат.

Бир нерсени өзгөртүүдөн мурун жайгаштырууңузду ушул үчөөнүн бирине шайкештештириңиз, анткени интернеттен тапкан кеңеш дээрлик ар дайым биринчиси үчүн жазылган. Жумуш үстөлүнүн жообун терминалсыз кызматка колдонуу — айлар бою иштеген туннелдин саат сайын кулай башташынын жолу.

Директива же флаг: бирөөнү тандап, кайсынысын колдонгонуңузду билиңиз

Профилдин ичинде auth-nocache өзүнчө сап; профилди ачык атаган чакырууда ал ошол команда сабындагы флаг, ал эми OpenVPN колдонмосу эки форманы тең тизмелейт. Экөө тең далилдерди сактоого бирдей таасир этет жана экөө тең интерфейс түрүнө тийбейт же ошол журналдагы байланышсыз эскертүүнү оңдобойт. Айырмачылык туруктуулукта: флаг ошол иштетүүнү гана камтыйт, ошондуктан unit файлынан же каптоочу скрипттен кайра башталган кызмат каптоочу да аны бербесе, ага ээ болбойт.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Параметр кайсы артефактка таандык экенин чечиңиз, аны ошол жерде өзгөртүңүз, башка жерде эмес. Ноутбукта оңдолгон профил жана аны флаг менен кайра жазуучу systemd unit — кайра жүктөөдөн кийин карама-каршы жүрүм-турум жараткан жуп.

Далилдер файлы сырды өчүрүүнүн ордуна жылдырат

auth-user-pass'ти файлга багыттоо ар бир кийинки кайра сүйлөшүүгө булак берет жана сырсөздү кайра жүктөөлөрдөн аман калган жерге коёт. Ошол файлды ким окуй аларын, демон артыкчылыктардан баш тарткандан кийин аны дагы окуй аларын жана файл системасы тек окууга курулганда же контейнер көрүнүшү жолду жашырганда эмне болорун сураңыз. Дисктеги сыр жана эстутумдагы сыр ар башка маселелер, жана бирөөнү чечүү экинчисин ордунда калтырат. Ротация — өткөрүп жиберүүчү кадам: серверде өзгөртүлгөн, бирок файлда өзгөртүлбөгөн сырсөз тармактын бузулушу сыяктуу окулган ийгиликсиздик жаратат.

Файлды демонду иштеткен эсептин менчигинде кармаңыз, башка эч ким окубайт, жана хосттон кетүүчү камдык көчүрмөлөрдөн тышкары кармаңыз. OpenVPN'дин сервер тараптагы auth-gen-token опциясы ийгиликтүү кирүүдөн кийин клиентке сессия токенин берет, бул эсеп сырсөзүнө караганда айланада калтырууга кичине нерсе. Ротация кадамын файлдын жанына баары бир жазыңыз, анткени файл адатта аны түзгөн адамдан узак жашайт.

Кайра сүйлөшүүнү созуу чыгымды жылдырат, жойбойт

Башка сунуш — reneg-sec'ти суроону этибарга албай тургандай сейрек болгонго чейин көтөрүү. Бул сессиянын ачкыч ротациясынын графигин кайра жазат жана ошол эле далилдер маселесин кийинки, болжолдоо кыйын учурга түртөт; ал далилдердин булагын түзбөйт. Ачкычтарды себеп менен график боюнча жаңырткан саясатты сырсөз теруүдөн качуу үчүн гана бошотпош керек.

Отурган сессияны эмес, кайра туташууну сынаңыз, анткени тирүү сессия эч нерсени далилдебейт. Туннелди сервер тараптан кулатыңыз же клиент кызматын кайра баштаңыз, жана клавиатурада эч ким жок кезде кийинки кайра сүйлөшүү эмне кыларын байкаңыз. Эгер ал кайра туташса, сырды берген механизмди атаңыз; эгер жок болсо, бул хосттогу опциянын чыныгы баасын таптыңыз. Эки жыйынтыктын кайсынысы болбосун сизге сыноо учурунда эмес, тыныгуу учурунда күчүндө болгон жооп берет.

Башкарылуучу флотто жайгаштыруунун ээси үч нерсени атай алышы керек: далилдер кайдан келет, кайда сакталат жана ким аларды ротациялайт. Эгер ошол жооптордун кайсынысы болбосун хостту орноткон адам болсо, опция ал жерде азырынча коопсуз эмес.