OpenVPN auth-nocache: што се случува при следното најавување

Вклучете auth-nocache и предупредувањето за кеширање на лозинката исчезнува, заедно со копијата на акредитивите што OpenVPN ја чуваше за следното преговарање. Дали тоа ќе стане барање, тивок обид или прекинат тунел зависи од тоа од каде доаѓаат акредитивите вториот пат. Затоа ова е споредба на формите на распоредување, а не пресуда за опцијата. Прочитајте ја формата што навистина ја извршувате пред да уредите кој било профил.

Од каде мора да дојде вториот сет акредитиви

OpenVPN го применува auth-nocache на тајните собрани од auth-user-pass и askpass: откако ќе се употребат, процесот ги отфрла наместо да ги чува за следното ракување. Преговарањето доаѓа по тајмер, стандардно еднаш на час, па второто барање пристигнува долго откако лицето што ја внело лозинката веќе заминало. Таа празнина е целата приказна. Ако кешот остане вклучен, клиентот ја репродуцира зачуваната копија без да праша никого; ако е исклучен, мора да ја најде тајната на друго место или да не успее.

Затоа наведете го секое место од каде тајната би можела да дојде во тој момент и бидете искрени кои од нив постојат на домаќинот. Лице пред терминал, датотека што auth-user-pass или askpass можат да ја прочитаат, или сесиски токен издаден од серверот се трите што се важни овде. Ако ниту еден од нив не е достапен, преговарањето не успева еден час по промената, а не во моментот кога сте ја направиле.

Три форми, три точки на откажување

Десктоп клиент со лице пред него е благиот случај: барањето се враќа, некој повторно ја внесува лозинката, а цената е внимание. Услуга, контејнер или рутер што извршува OpenVPN без терминал е тешкиот случај, бидејќи нема кој да одговори и поврзувањето што порано беше тивко сега го завршува тунелот. Хибридот стои помеѓу двете и се однесува како десктоп случајот додека не исчезне сесијата што можеше да одговори на барањето. Она што ги дели не е дали е инсталиран GUI, туку дали постои извор на акредитиви во моментот на преговарањето.

Пред да промените нешто, мапирајте го вашето распоредување на една од тие три форми, бидејќи советите што ги наоѓате онлајн речиси секогаш се напишани за првата. Примената на десктоп одговорот на услуга без терминал е начинот на кој тунел што работел месеци почнува да паѓа секој час.

Директива или знаменце: изберете едно и знајте кое го користевте

Внатре во профилот, auth-nocache е посебна линија; при повик што профилот го именува експлицитно, тоа е знаменце на таа командна линија, а прирачникот на OpenVPN ги наведува двете форми. Двете го прават истото со задржувањето на акредитивите и ниту едно не го допира типот на интерфејсот или не поправа неповрзано предупредување во истиот дневник. Разликата е трајноста: знаменцето покрива само тоа извршување, па услуга рестартирана од unit датотека или скрипта-обвивка нема да го има, освен ако обвивката не го проследи и таа.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Одлучете кој артефакт го поседува поставувањето, сменете го таму и никаде друго. Профил уреден на преносен сметач плус systemd unit што го надминува со знаменце е парот што создава противречно однесување по рестартирање.

Датотеката со акредитиви ја преместува тајната наместо да ја брише

Насочувањето на auth-user-pass кон датотека и дава на секое подоцнежно преговарање извор, а лозинката ја става и на место што ги преживува рестартирањата. Прашајте кој може да ја чита таа датотека, дали демонот сѐ уште може да ја чита откако ќе се откаже од привилегиите, и што се случува кога датотечниот систем е монтиран само за читање или контејнерскиот приказ ја крие патеката. Тајна на диск и тајна во меморија се различни проблеми, а решавањето на едниот го остава другиот на место. Ротацијата е чекорот што се прескокнува: лозинка сменета на серверот но не во датотеката дава отказ што се чита како мрежен дефект.

Држете ја датотеката во сопственост на сметката што го извршува демонот, нечитлива за никого друг, и надвор од резервните копии што го напуштаат домаќинот. Серверската опција auth-gen-token на OpenVPN му дава на клиентот сесиски токен по успешно најавување, што е помало нешто за оставање наоколу од лозинката на сметката. Запишете го чекорот на ротација до датотеката во секој случај, бидејќи датотеката обично го надживува лицето што ја создало.

Продолжувањето на преговарањето ја преместува цената, не ја отстранува

Другиот предлог е да се покачи reneg-sec додека барањето не стане доволно ретко за да се игнорира. Тоа го препишува распоредот за ротација на клучевите на сесијата и ја турка истата проблема со акредитиви на подоцнежен, помалку предвидлив момент; тоа не создава извор на акредитиви. Политиката што обновува клучеви по распоред од некоја причина не треба да се олабавува само за да се избегне внесување лозинка.

Тестирајте го повторното поврзување, а не сесијата во која седите, бидејќи живата сесија не докажува ништо. Спуштете го тунелот од серверската страна или рестартирајте ја клиентската услуга и гледајте што прави следното преговарање кога никој не е на тастатурата. Ако се поврзе повторно, наведете го механизмот што ја достави тајната; ако не, ја најдовте вистинската цена на опцијата на овој домаќин. Секој од двата исхода ви дава одговор што важи за време на прекин наместо оној што важел за време на тестирањето.

Во управувана флота, оној што го поседува распоредувањето треба да може да наведе три работи: од каде доаѓаат акредитивите, каде се чуваат и кој ги ротира. Ако некој од тие одговори е лицето што го поставило домаќинот, опцијата таму сѐ уште не е безбедна.