OpenVPN auth-nocache: kas notiek nākamajā pieteikšanās reizē

Ieslēdziet auth-nocache, un brīdinājums par paroles kešatmiņu pazūd, kopā ar akreditācijas datu kopiju, ko OpenVPN turēja nākamajai atkārtotajai pārrunāšanai. Vai tas kļūs par uzvedni, klusu atkārtotu mēģinājumu vai pārtrauktu tuneli, ir atkarīgs no tā, no kurienes otrajā reizē nāk akreditācijas dati. Tāpēc tas ir izvietošanas formu salīdzinājums, nevis spriedums par šo opciju. Pirms rediģējat jebkuru profilu, izlasiet formu, kuru patiešām izmantojat.

No kurienes jānāk otrajai akreditācijas datu kopai

OpenVPN piemēro auth-nocache noslēpumiem, ko savāc auth-user-pass un askpass: pēc izmantošanas process tos atmet, nevis glabā nākamajai rokasspiedienam. Atkārtotā pārrunāšana nāk pēc taimera, pēc noklusējuma reizi stundā, tāpēc otrais pieprasījums pienāk ilgi pēc tam, kad parole ievadījusī persona jau sen ir aizgājusi. Šī starpība ir viss stāsts. Ja kešatmiņa paliek ieslēgta, klients atskaņo saglabāto kopiju, nevienam nejautājot; ja tā ir izslēgta, tam noslēpums jāatrod citur vai jācieš neveiksme.

Tāpēc uzskaitiet visas vietas, no kurienes tajā brīdī varētu nākt noslēpums, un esiet godīgi par to, kuras no tām pastāv resursdatorā. Cilvēks pie termināļa, fails, ko var nolasīt auth-user-pass vai askpass, vai servera izsniegts sesijas marķieris ir trīs, kas šeit ir svarīgi. Ja neviens no tiem nav pieejams, atkārtotā pārrunāšana neizdodas stundu pēc izmaiņām, nevis tajā brīdī, kad tās veicāt.

Trīs formas, trīs kļūmes punkti

Darbvirsmas klients ar cilvēku priekšā ir vieglais gadījums: uzvedne atgriežas, kāds vēlreiz ievada paroli, un izmaksas ir uzmanība. Pakalpojums, konteiners vai maršrutētājs, kas darbina OpenVPN bez termināļa, ir smagais gadījums, jo nav neviena, kas atbildētu, un savienojums, kas agrāk bija kluss, tagad izbeidz tuneli. Hibrīds atrodas starp abiem un uzvedas kā darbvirsmas gadījums, līdz pazūd sesija, kas varēja atbildēt uz uzvedni. Tos šķir nevis tas, vai ir instalēta GUI, bet tas, vai atkārtotās pārrunāšanas laikā pastāv akreditācijas datu avots.

Pirms kaut ko mainīt, pieskaņojiet savu izvietojumu vienai no šīm trim formām, jo padoms, ko atrodat tiešsaistē, gandrīz vienmēr ir rakstīts pirmajai. Darbvirsmas atbildes piemērošana pakalpojumam bez termināļa ir veids, kā tunelis, kas strādāja mēnešiem, sāk krist katru stundu.

Direktīva vai karodziņš: izvēlieties vienu un ziniet, kuru izmantojāt

Profila iekšpusē auth-nocache ir atsevišķa rinda; izsaukumā, kas skaidri nosauc profilu, tas ir karodziņš šajā komandrindā, un OpenVPN rokasgrāmata uzskaita abas formas. Abi dara vienu un to pašu akreditācijas datu saglabāšanā, un neviens neaiztiek saskarnes tipu vai nelabo nesaistītu brīdinājumu tajā pašā žurnālā. Atšķirība ir noturība: karodziņš attiecas tikai uz šo palaišanu, tāpēc pakalpojumam, kas restartēts no unit faila vai ietvara skripta, tas nebūs, ja vien ietvars to arī nenodod.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Izlemiet, kurš artefakts pārvalda iestatījumu, mainiet to tur un nekur citur. Profils, kas rediģēts portatīvajā datorā, plus systemd unit, kas to pārraksta ar karodziņu, ir pāris, kas pēc pārstartēšanas rada pretrunīgu uzvedību.

Akreditācijas datu fails pārvieto noslēpumu, nevis to dzēš

Novirzot auth-user-pass uz failu, katrai nākamajai atkārtotajai pārrunāšanai tiek dots avots, un parole nonāk vietā, kas pārdzīvo pārstartēšanas. Jautājiet, kas var nolasīt šo failu, vai dēmons to joprojām var nolasīt pēc privilēģiju atdošanas, un kas notiek, kad failu sistēma ir montēta tikai lasīšanai vai konteinera skats slēpj ceļu. Noslēpums diskā un noslēpums atmiņā ir dažādas problēmas, un vienas risināšana atstāj otru savā vietā. Rotācija ir solis, kas tiek izlaists: serverī nomainīta, bet failā nenomainīta parole rada kļūmi, kas tiek lasīta kā tīkla bojājums.

Turiet failu tā konta īpašumā, kas darbina dēmonu, citiem nepieejamu lasīšanai, un ārpus rezerves kopijām, kas pamet resursdatoru. OpenVPN servera puses opcija auth-gen-token pēc veiksmīgas pieteikšanās nodod klientam sesijas marķieri, kas ir mazāka lieta, ko atstāt guļam, nekā konta parole. Rotācijas soli jebkurā gadījumā pierakstiet faila malā, jo fails parasti dzīvo ilgāk nekā cilvēks, kas to izveidoja.

Pārrunāšanas pagarināšana pārvieto izmaksas, tās neizslēdz

Otrs ieteikums ir paaugstināt reneg-sec, līdz uzvedne ir pietiekami reta, lai to ignorētu. Tas pārraksta sesijas atslēgu rotācijas grafiku un pastumj to pašu akreditācijas datu problēmu uz vēlāku, mazāk paredzamu brīdi; tas nerada akreditācijas datu avotu. Politiku, kas kāda iemesla dēļ atjauno atslēgas pēc grafika, nevajadzētu mīkstināt tikai tāpēc, lai izvairītos no paroles ievadīšanas.

Pārbaudiet atkārtotu savienojumu, nevis sesiju, kurā sēžat, jo dzīvā sesija neko nepierāda. Nometiet tuneli servera pusē vai restartējiet klienta pakalpojumu un vērojiet, ko dara nākamā atkārtotā pārrunāšana, kad pie klaviatūras neviena nav. Ja tas atkal pievienojas, nosauciet mehānismu, kas piegādāja noslēpumu; ja ne, jūs esat atraduši patiesās šīs opcijas izmaksas šajā resursdatorā. Jebkurš iznākums dod atbildi, kas ir spēkā pārtraukuma laikā, nevis to, kas bija spēkā testēšanas laikā.

Pārvaldītā flotē tam, kam pieder izvietojums, vajadzētu prast nosaukt trīs lietas: no kurienes nāk akreditācijas dati, kur tie tiek glabāti un kas tos rotē. Ja kāda no šīm atbildēm ir persona, kas uzstādīja resursdatoru, opcija tur vēl nav droša.