auth-nocacheയും ക്രെഡൻഷ്യൽ ഫയലും: സഹായിക്കുന്നുവോ അതോ ദോഷം ചെയ്യുന്നുവോ?

OpenVPN പ്രവർത്തനക്ഷമമാകുമ്പോൾ auth-nocache എന്ന് നിർദ്ദേശിക്കുന്ന മുന്നറിയിപ്പ് അച്ചടിക്കുന്നു, കൂടാതെ പ്രലോഭിപ്പിക്കുന്ന പ്രതികരണം ഓപ്ഷൻ ചേർത്ത് വരി അപ്രത്യക്ഷമാകുന്നത് കാണുകയാണ്. ആ ഉപദേശം ഇന്ററാക്ടീവ് ലോഗിൻ അനുമാനിക്കുന്നു. ഉപയോക്തൃനാമവും പാസ്‌വേഡും ഒരു ഫയലിൽ താമസമാക്കിയാൽ താരതമ്യം മാറുന്നു: ഓപ്ഷൻ സ്ഥിരമായ പകർപ്പിനെ സംരക്ഷിക്കുന്നത് നിർത്തുന്നു, കൂടാതെ അധികാരങ്ങൾ ഒഴിവാക്കുന്ന ക്ലൈന്റിൽ അത് പിന്നീട് വീണ്ടും ചർച്ച ചെയ്യുന്നത് തകർക്കാം. പ്രൊഫൈൽ തിരുത്തുന്നതിന് മുമ്പ് രണ്ട് സംഭരണ മാതൃകകൾ വേർതിരിച്ച് നിർത്തുന്നത് ഉചിതമാണ്.

ക്രെഡൻഷ്യൽ അഭ്യർത്ഥനയ്ക്ക് ഉത്തരം നൽകാനുള്ള രണ്ട് വഴികൾ

ആദ്യ മാതൃക ഒരു വ്യക്തി ടെർമിനലിൽ ക്രെഡൻഷ്യലുകൾ ടൈപ്പ് ചെയ്യുന്നത്, അല്ലെങ്കിൽ സെഷനിൽ അവ സൂക്ഷിക്കുന്ന ഒരു മാനേജ്മെന്റ് ഇന്റർഫേസ്. OpenVPN ആ പകർപ്പ് സൂക്ഷിക്കുന്നു, അതുവഴി അടുത്ത വീണ്ടും ചർച്ചയ്ക്ക് വീണ്ടും ചോദിക്കാതെ ഉത്തരം നൽകാം, കൂടാതെ മുന്നറിയിപ്പ് കൃത്യമായി അതിനെക്കുറിച്ചാണ്. ഡിസ്കിൽ ഒന്നും ഉൾപ്പെടുന്നില്ല, അതിനാൽ സംരക്ഷിക്കേണ്ട ഒരേയൊരു കാര്യം മൂല്യം പിടിച്ചിരിക്കുന്ന പ്രക്രിയയാണ്. ക്ലൈന്റ് അടയ്ക്കുക, പകർപ്പും അതിനൊപ്പം പോകും.

രണ്ടാമത്തെ മാതൃക ഫയലിലേക്ക് വിരൽ ചൂണ്ടുന്ന auth-user-pass ആണ്, അവിടെ ഫയലാണ് സംഭരണി, മൂല്യം ആവശ്യമാകുമ്പോൾ ക്ലൈന്റ് അത് വായിക്കുന്നു. ഇവിടെ പ്രധാനമായ എക്സ്പോഷർ പ്രക്രിയയുടെ മെമ്മറിയല്ല, ആ ഫയലിന്റെ അനുമതികളും ഉടമസ്ഥതയുമാണ്. പ്രവർത്തന മുന്നറിയിപ്പ് കോൺഫിഗറേഷനിലെ നിർദ്ദേശങ്ങളിൽ നിന്നാണ് വരുന്നത്, നിങ്ങൾ പാസ്‌വേഡ് എങ്ങനെ നൽകുന്നു എന്ന പരിശോധനയിൽ നിന്നല്ല, അതിനാൽ അത് രണ്ട് മാതൃകകളിലും പ്രത്യക്ഷപ്പെടുന്നു, ഒന്നിനെയും ചൂണ്ടുന്നില്ല.

ഈ താരതമ്യത്തിന്റെ ബാക്കി ആ വിഭജനത്തിൽ നിന്നാണ് വരുന്നത്: ഒരു മാതൃകയ്ക്ക് മെമ്മറി കൈകാര്യം, മറ്റൊന്നിന് ഫയൽ കൈകാര്യം, പ്രക്രിയയുടെ ഐഡന്റിറ്റി.

auth-nocache യഥാർത്ഥത്തിൽ എന്താണ് എറിഞ്ഞുകളയുന്നത്

ഇന്ററാക്ടീവ് ലോഗിനിൽ, --auth-nocache ഉപയോഗിച്ചതിന് ശേഷം സൂക്ഷിച്ച പകർപ്പ് മെമ്മറിയിൽ നിന്ന് നീക്കം ചെയ്യുന്നു. വില ഓരോ വീണ്ടും ചർച്ചാ ഇടവേളയിലും പുതിയ അഭ്യർത്ഥനയാണ്, കാരണം അടുത്ത റൗണ്ടിന് എറിഞ്ഞത് വീണ്ടും ഉപയോഗിക്കാനാവില്ല.

ഫയൽ അടിസ്ഥാനമാക്കിയ ലോഗിനിൽ ക്ലൈന്റിന് ഫയൽ വീണ്ടും വായിക്കാം, അതിനാൽ എറിയൽ മിക്കവാറും അദൃശ്യമാണ്. അത് ആളുകൾ പ്രതീക്ഷിക്കാത്ത ഒരിടത്ത് ദൃശ്യമാകുന്നു: ഡീമൺ അധികാരങ്ങൾ ഒഴിവാക്കിയ ശേഷം, ഇപ്പോൾ അത് പ്രവർത്തിക്കുന്ന അക്കൗണ്ടിന് ക്രെഡൻഷ്യൽ ഫയൽ വായിക്കാനാകാത്തെങ്കിൽ.

ആ കൈമാറ്റം മനസ്സിലാക്കുന്നതുകൊണ്ട് ഓപ്ഷൻ ചേർക്കുക, മുന്നറിയിപ്പ് കണ്ടതുകൊണ്ടല്ല. ലോഗ് ശാന്തമാക്കാൻ ചേർക്കുന്ന ഓപ്ഷൻ, അതിന്റെ ഫലം ആരും അളന്നിട്ടില്ലാത്ത ഓപ്ഷനാണ്.

ഫയൽ അടിസ്ഥാനമാക്കിയ വഴി എവിടെ തകരുന്നു

ടണൽ ഉപകരണം തുറക്കാൻ root ആയി ആരംഭിച്ച് പിന്നീട് user ഉം group ലേക്ക് മാറുന്ന ക്ലൈന്റ് ക്രെഡൻഷ്യൽ ഫയൽ രണ്ടുതവണ വായിക്കുന്നു: മാറ്റത്തിന് മുമ്പ് ഒരിക്കൽ, തുടർന്നുള്ള വീണ്ടും ചർച്ചയിൽ ഒരിക്കൽ. ഫയൽ മോഡ് 600 ലും root ഉടമസ്ഥതയിലും ആണെങ്കിൽ രണ്ടാമത്തെ വായന പരാജയപ്പെടുന്നു, ആ പരാജയം ഒരു മണിക്കൂർ കഴിഞ്ഞ് സെർവർ പ്രശ്നമായി തോന്നുന്ന ഒരു പ്രാമാണീകരണ പിശകായി പ്രത്യക്ഷപ്പെടുന്നു. വീണ്ടും ചർച്ചാ ഇടവേളയ്ക്ക് ചുറ്റും ക്ലൈന്റ് ലോഗ് പരിശോധിക്കുക, തുടർന്ന് അക്കൗണ്ടും ഫയലും ഒരുമിച്ച് പരിശോധിക്കുക.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

രണ്ട് വരികളും പ്രധാനമാണ്. ആദ്യത്തേത് ഫയൽ ആർക്ക് വായിക്കാമെന്ന് പറയുന്നു, രണ്ടാമത്തേത് പ്രവർത്തിക്കുന്ന ഡീമൺ യഥാർത്ഥത്തിൽ ആരെന്ന് പറയുന്നു, അവയ്ക്കിടയിലുള്ള പൊരുത്തക്കേട് പാസ്‌വേഡ് എത്ര തവണ വീണ്ടും എഴുതിയാലും ശരിയാകാത്ത ഒരു പരാജയം വിശദീകരിക്കുന്നു.

പ്രായോഗിക പരിഹാരങ്ങൾ മിന്നിത്തിളങ്ങുന്നതല്ല: ഫയൽ ഡീമണിന്റെ അക്കൗണ്ടിന് വായിക്കാനാകുന്ന ഒരു ഡയറക്ടറിയിലേക്കും ഉടമയിലേക്കും മാറ്റുക, അല്ലെങ്കിൽ പ്രത്യേകാവകാശ വായന നിലനിർത്തി നിങ്ങളുടെ ക്ലൈന്റ് ഒരിക്കൽ മാത്രം വായിക്കുന്നുവെന്ന് സ്ഥിരീകരിക്കുക. ഫയൽ എല്ലാവർക്കും വായിക്കാവുന്നതാക്കി ഇത് പരിഹരിക്കരുത്.

ഓപ്ഷൻ യഥാർത്ഥത്തിൽ ആവശ്യമുള്ള സന്ദർഭം

ഒറ്റത്തവണ കോഡ് വഹിക്കുന്ന ലോഗിൻ auth-nocache മറ്റൊരു കാരണത്താൽ ആഗ്രഹിക്കുന്നു. ഒറ്റത്തവണ കോഡ് ആദ്യ പ്രാമാണീകരണത്തിൽ ചെലവഴിക്കപ്പെടുന്നു, അതിനാൽ കാഷെ ചെയ്ത പകർപ്പ് അടുത്ത വീണ്ടും ചർച്ചയിൽ ഉപയോഗശൂന്യമാണ്, കാലഹരണപ്പെട്ട മൂല്യം വീണ്ടും പ്ലേ ചെയ്യാനും സാധ്യതയുണ്ട്.

ഇത് ക്രെഡൻഷ്യലിന്റെ തരത്തെക്കുറിച്ചുള്ള ചോദ്യമാണ്, അത് എവിടെ സൂക്ഷിക്കുന്നു എന്നതിനെക്കുറിച്ചല്ല. സംരക്ഷിത ഫയലിലെ സ്ഥിര പാസ്‌വേഡിന് വിപരീത പ്രൊഫൈൽ ഉണ്ട്: അത് ഓരോ വീണ്ടും ചർച്ചയിലും വായിക്കാവുന്നതായിരിക്കണം, ആവശ്യമായ സംരക്ഷണം ഫയലിലാണ്.

ഈ രണ്ട് കാരണങ്ങളും പ്രൊഫൈൽ കുറിപ്പുകളിൽ വേർതിരിച്ച് വയ്ക്കുക, അല്ലെങ്കിൽ അടുത്ത അഡ്മിനിസ്ട്രേറ്റർ താൻ തിരഞ്ഞെടുക്കുന്ന കാരണത്തിനാണ് ഓപ്ഷൻ അവിടെയുള്ളതെന്ന് കരുതും.

ഒരു തീരുമാനത്തിലെ താരതമ്യം

ഒരു വ്യക്തി ഉള്ളപ്പോഴും പുതുമ പ്രധാനമാകുമ്പോഴും ഇന്ററാക്ടീവ് മാതൃക തിരഞ്ഞെടുക്കുക, ആവർത്തിച്ചുള്ള അഭ്യർത്ഥന അതിന്റെ വിലയായി സ്വീകരിക്കുക. ക്ലൈന്റ് മേൽനോട്ടമില്ലാതെ പ്രവർത്തിക്കുമ്പോൾ ഫയൽ മാതൃക തിരഞ്ഞെടുക്കുക, പരിശ്രമം ഉടമസ്ഥതയിലും മോഡിലും അധികാരങ്ങൾ ഒഴിവാക്കുന്നതിലും ചെലവഴിക്കുക.

ഏത് മാതൃകയും സൂക്ഷിച്ച പാസ്‌വേഡിനെ സ്വയം സുരക്ഷിതമാക്കുന്നില്ല, ഒന്നും പ്രവർത്തന മുന്നറിയിപ്പിനെ അർത്ഥവത്താക്കുന്നുമില്ല.

പ്രൊഫൈൽ തുറന്നതിന്റെ ഒരേയൊരു കാരണം മുന്നറിയിപ്പാണെങ്കിൽ, വിശദീകരിക്കാത്ത ഓപ്ഷന് പകരം തീരുമാനം രേഖപ്പെടുത്തുക: ക്രെഡൻഷ്യലുകൾ ഡീമണിന്റെ അക്കൗണ്ടിന് വായിക്കാനാകുന്ന ഫയലിൽ നിന്നാണ് വരുന്നത്, വീണ്ടും ചർച്ച വിജയിക്കുന്നത് കണ്ടിട്ടുണ്ട്, ഇടവേള മാറ്റുന്നതിന് മുമ്പ് OpenVPN 2.6 കൈപ്പുസ്തകത്തിലെ വീണ്ടും ചർച്ചയെക്കുറിച്ചുള്ള ഭാഗം വായിച്ചിട്ടുണ്ട്. ആ കുറിപ്പ് ഏതൊരു ഒറ്റ ഫ്ലാഗിനെക്കാളും കൂടുതൽ കാലം നിലനിൽക്കും.