OpenVPN auth-nocache: അടുത്ത ലോഗിനിൽ എന്ത് സംഭവിക്കുന്നു

auth-nocache ഓണാക്കിയാൽ പാസ്വേഡ് കാഷിംഗ് മുന്നറിയിപ്പ് അപ്രത്യക്ഷമാകും, OpenVPN അടുത്ത പുനർച്ചർച്ചയ്ക്കായി സൂക്ഷിച്ച ക്രെഡൻഷ്യലുകളുടെ പകർപ്പും സഹിതം. അത് ഒരു പ്രോംപ്റ്റ്, നിശ്ശബ്ദ വീണ്ടും ശ്രമം അല്ലെങ്കിൽ മുറിഞ്ഞ ടണൽ ആകുന്നത് രണ്ടാം തവണ ക്രെഡൻഷ്യലുകൾ എവിടെ നിന്ന് വരുന്നു എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു. അതിനാൽ ഇത് വിന്യാസ രൂപങ്ങൾ തമ്മിലുള്ള താരതമ്യമാണ്, ഓപ്ഷനെക്കുറിച്ചുള്ള വിധിയല്ല. ഏതെങ്കിലും പ്രൊഫൈൽ എഡിറ്റ് ചെയ്യുന്നതിന് മുമ്പ് നിങ്ങൾ യഥാർത്ഥത്തിൽ പ്രവർത്തിപ്പിക്കുന്ന രൂപം വായിക്കുക.

രണ്ടാം ക്രെഡൻഷ്യൽ കൂട്ടം എവിടെ നിന്ന് വരണം

OpenVPN auth-nocache auth-user-pass ഉം askpass ഉം ശേഖരിക്കുന്ന രഹസ്യങ്ങൾക്ക് പ്രയോഗിക്കുന്നു: ഉപയോഗിച്ചതിന് ശേഷം പ്രക്രിയ അവ അടുത്ത ഹാൻഡ്ഷേക്കിനായി സൂക്ഷിക്കാതെ ഉപേക്ഷിക്കുന്നു. പുനർച്ചർച്ച ഒരു ടൈമറിൽ, സ്വതവേ മണിക്കൂറിൽ ഒരിക്കൽ വരുന്നു, അതിനാൽ പാസ്വേഡ് ടൈപ്പ് ചെയ്ത വ്യക്തി വളരെ മുമ്പേ പോയതിന് ശേഷമാണ് രണ്ടാം അഭ്യർത്ഥന എത്തുന്നത്. ആ ഇടവേളയാണ് മുഴുവൻ കഥ. കാഷ് ഓണായി തുടർന്നാൽ ക്ലയന്റ് ആരോടും ചോദിക്കാതെ സൂക്ഷിച്ച പകർപ്പ് വീണ്ടും പ്ലേ ചെയ്യുന്നു; ഓഫായാൽ രഹസ്യം മറ്റെവിടെയെങ്കിലും കണ്ടെത്തണം അല്ലെങ്കിൽ പരാജയപ്പെടണം.

അതിനാൽ ആ നിമിഷത്തിൽ രഹസ്യം എവിടെ നിന്ന് വരാമെന്ന് എല്ലാ സ്ഥലങ്ങളും ലിസ്റ്റ് ചെയ്യുക, അവയിൽ ഏതൊക്കെ ഹോസ്റ്റിൽ ഉണ്ടെന്ന് സത്യസന്ധമായിരിക്കുക. ടെർമിനലിലിരിക്കുന്ന ഒരാൾ, auth-user-pass അല്ലെങ്കിൽ askpass വായിക്കാൻ കഴിയുന്ന ഫയൽ, അല്ലെങ്കിൽ സർവർ നൽകുന്ന സെഷൻ ടോക്കൺ — ഇവ മൂന്നാണ് ഇവിടെ പ്രധാനം. ഇവയൊന്നും ലഭ്യമല്ലെങ്കിൽ, പുനർച്ചർച്ച മാറ്റത്തിന് ഒരു മണിക്കൂർ കഴിഞ്ഞ് പരാജയപ്പെടും, നിങ്ങൾ അത് ചെയ്ത നിമിഷത്തിലല്ല.

മൂന്ന് രൂപങ്ങൾ, മൂന്ന് പരാജയ ബിന്ദുക്കൾ

മുന്നിൽ ഒരാൾ ഉള്ള ഡെസ്ക്ടോപ്പ് ക്ലയന്റ് ലഘുവായ കേസാണ്: പ്രോംപ്റ്റ് തിരികെ വരുന്നു, ആരോ വീണ്ടും പാസ്വേഡ് ടൈപ്പ് ചെയ്യുന്നു, ചെലവ് ശ്രദ്ധയാണ്. ടെർമിനൽ ഇല്ലാതെ OpenVPN പ്രവർത്തിപ്പിക്കുന്ന സേവനം, കണ്ടെയ്നർ അല്ലെങ്കിൽ റൂട്ടർ കഠിനമായ കേസാണ്, കാരണം ഉത്തരം നൽകാൻ ആരുമില്ല, മുമ്പ് നിശ്ശബ്ദമായിരുന്ന പുനർബന്ധനം ഇപ്പോൾ ടണൽ അവസാനിപ്പിക്കുന്നു. ഹൈബ്രിഡ് രണ്ടിനും ഇടയിലാണ്, പ്രോംപ്റ്റിന് ഉത്തരം നൽകാൻ കഴിയുമായിരുന്ന സെഷൻ ഇല്ലാതാകുന്നതുവരെ ഡെസ്ക്ടോപ്പ് കേസ് പോലെ പെരുമാറുന്നു. അവയെ വേർതിരിക്കുന്നത് GUI ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ടോ എന്നതല്ല, പുനർച്ചർച്ചയുടെ സമയത്ത് ക്രെഡൻഷ്യലിന്റെ ഉറവിടം ഉണ്ടോ എന്നതാണ്.

എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് നിങ്ങളുടെ വിന്യാസം ഈ മൂന്നിൽ ഒന്നുമായി പൊരുത്തപ്പെടുത്തുക, കാരണം ഓൺലൈനിൽ കിട്ടുന്ന ഉപദേശം മിക്കവാറും എപ്പോഴും ആദ്യത്തേതിനുള്ളതാണ്. ഡെസ്ക്ടോപ്പിലെ ഉത്തരം ടെർമിനൽ ഇല്ലാത്ത സേവനത്തിൽ പ്രയോഗിക്കുന്നതാണ് മാസങ്ങളായി പ്രവർത്തിച്ച ടണൽ ഓരോ മണിക്കൂറിലും വീഴാൻ തുടങ്ങുന്ന വഴി.

നിർദ്ദേശമോ ഫ്ലാഗോ: ഒന്ന് തിരഞ്ഞെടുത്ത് ഏതാണ് ഉപയോഗിച്ചതെന്ന് അറിയുക

പ്രൊഫൈലിനുള്ളിൽ auth-nocache പ്രത്യേക വരിയാണ്; പ്രൊഫൈൽ വ്യക്തമായി പേരിടുന്ന വിളിയിൽ അത് ആ കമാൻഡ് ലൈനിലെ ഫ്ലാഗാണ്, OpenVPN കൈപ്പുസ്തകം രണ്ട് രൂപങ്ങളും ലിസ്റ്റ് ചെയ്യുന്നു. രണ്ടും ക്രെഡൻഷ്യലുകൾ സൂക്ഷിക്കുന്ന കാര്യത്തിൽ ഒരേപോലെ പ്രവർത്തിക്കുന്നു, ഒന്നും ഇന്റർഫേസ് തരം തൊടുന്നില്ല, ഒരേ ലോഗിലുള്ള അപ്രസക്തമായ മുന്നറിയിപ്പ് ശരിയാക്കുന്നുമില്ല. വ്യത്യാസം സ്ഥിരതയിലാണ്: ഫ്ലാഗ് ആ റൺ മാത്രം ഉൾക്കൊള്ളുന്നു, അതിനാൽ unit ഫയലിൽ നിന്നോ റാപ്പർ സ്ക്രിപ്റ്റിൽ നിന്നോ പുനരാരംഭിക്കുന്ന സേവനത്തിന് റാപ്പറും അത് കൈമാറിയില്ലെങ്കിൽ അത് ഉണ്ടാകില്ല.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

ഏത് ആർട്ടിഫാക്ടാണ് ക്രമീകരണം കൈവശം വയ്ക്കുന്നതെന്ന് തീരുമാനിക്കുക, അവിടെ മാത്രം മാറ്റുക, മറ്റെവിടെയുമല്ല. ലാപ്ടോപ്പിൽ എഡിറ്റ് ചെയ്ത പ്രൊഫൈലും ഫ്ലാഗ് ഉപയോഗിച്ച് അതിനെ മറികടക്കുന്ന systemd unit ഉം ആണ് റീബൂട്ടിന് ശേഷം വൈരുദ്ധ്യാത്മക പെരുമാറ്റം ഉണ്ടാക്കുന്ന ജോഡി.

ക്രെഡൻഷ്യൽ ഫയൽ രഹസ്യം മായ്ക്കുന്നതിന് പകരം സ്ഥലം മാറ്റുന്നു

auth-user-pass ഒരു ഫയലിലേക്ക് ചൂണ്ടിക്കാണിച്ചാൽ തുടർന്നുള്ള ഓരോ പുനർച്ചർച്ചയ്ക്കും ഉറവിടം ലഭിക്കുന്നു, പാസ്വേഡ് റീബൂട്ടുകളെ അതിജീവിക്കുന്ന ഒരിടത്തും വെക്കുന്നു. ആ ഫയൽ ആർക്ക് വായിക്കാമെന്ന്, അധികാരങ്ങൾ ഒഴിഞ്ഞതിന് ശേഷം ഡീമനിന് ഇപ്പോഴും വായിക്കാമോ, ഫയൽസിസ്റ്റം വായനയ്ക്ക് മാത്രമായി മൗണ്ട് ചെയ്താലോ കണ്ടെയ്നർ കാഴ്ച പാത മറച്ചാലോ എന്ത് സംഭവിക്കുമെന്ന് ചോദിക്കുക. ഡിസ്കിലെ രഹസ്യവും മെമ്മറിയിലെ രഹസ്യവും വ്യത്യസ്ത പ്രശ്നങ്ങളാണ്, ഒന്ന് പരിഹരിച്ചാലും മറ്റൊന്ന് അതിന്റെ സ്ഥാനത്ത് തുടരും. റൊട്ടേഷനാണ് ഒഴിവാക്കപ്പെടുന്ന ഘട്ടം: സർവറിൽ മാറ്റി ഫയലിൽ മാറ്റാത്ത പാസ്വേഡ് നെറ്റ്വർക്ക് തകരാറായി വായിക്കപ്പെടുന്ന പരാജയം ഉണ്ടാക്കുന്നു.

ഫയൽ ഡീമൺ പ്രവർത്തിപ്പിക്കുന്ന അക്കൗണ്ടിന്റെ ഉടമസ്ഥതയിൽ സൂക്ഷിക്കുക, മറ്റാർക്കും വായിക്കാൻ കഴിയാതെ, ഹോസ്റ്റ് വിടുന്ന ബാക്കപ്പുകൾക്ക് പുറത്ത്. OpenVPN ന്റെ സർവർ-സൈഡ് auth-gen-token ഓപ്ഷൻ വിജയകരമായ ലോഗിനിന് ശേഷം ക്ലയന്റിന് സെഷൻ ടോക്കൺ നൽകുന്നു, അത് അക്കൗണ്ട് പാസ്വേഡിനെക്കാൾ ചെറിയ ഒന്ന് വെറുതെ വിടാൻ പറ്റുന്നതാണ്. എന്തായാലും റൊട്ടേഷൻ ഘട്ടം ഫയലിനടുത്ത് എഴുതുക, കാരണം ഫയൽ സാധാരണയായി അത് സൃഷ്ടിച്ച വ്യക്തിയെക്കാൾ കൂടുതൽ കാലം നിലനിൽക്കുന്നു.

പുനർച്ചർച്ച നീട്ടുന്നത് ചെലവ് മാറ്റുന്നു, ഒഴിവാക്കുന്നില്ല

മറ്റൊരു നിർദ്ദേശം reneg-sec വർദ്ധിപ്പിക്കുകയാണ്, പ്രോംപ്റ്റ് അവഗണിക്കാവുന്നത്ര അപൂർവമാകുന്നതുവരെ. അത് സെഷന്റെ കീ-റൊട്ടേഷൻ ഷെഡ്യൂൾ വീണ്ടും എഴുതുകയും അതേ ക്രെഡൻഷ്യൽ പ്രശ്നം കൂടുതൽ വൈകി, പ്രവചിക്കാൻ പ്രയാസമുള്ള ഒരു നിമിഷത്തിലേക്ക് തള്ളുകയും ചെയ്യുന്നു; അത് ക്രെഡൻഷ്യലിന്റെ ഉറവിടം സൃഷ്ടിക്കുന്നില്ല. ഏതോ കാരണത്താൽ ഷെഡ്യൂൾ പ്രകാരം കീകൾ പുതുക്കുന്ന നയം പാസ്വേഡ് ടൈപ്പ് ചെയ്യുന്നത് ഒഴിവാക്കാൻ മാത്രം അയച്ചുവിടരുത്.

നിങ്ങൾ ഇരിക്കുന്ന സെഷൻ അല്ല, പുനർബന്ധനം പരിശോധിക്കുക, കാരണം ജീവനുള്ള സെഷൻ ഒന്നും തെളിയിക്കുന്നില്ല. സർവർ വശത്ത് നിന്ന് ടണൽ വീഴ്ത്തുക, അല്ലെങ്കിൽ ക്ലയന്റ് സേവനം പുനരാരംഭിക്കുക, കീബോർഡിൽ ആരുമില്ലാത്തപ്പോൾ അടുത്ത പുനർച്ചർച്ച എന്ത് ചെയ്യുന്നെന്ന് നോക്കുക. അത് വീണ്ടും ബന്ധിപ്പിക്കുന്നുവെങ്കിൽ, രഹസ്യം നൽകിയ സംവിധാനം പേരിടുക; ഇല്ലെങ്കിൽ, ഈ ഹോസ്റ്റിൽ ഓപ്ഷന്റെ യഥാർത്ഥ ചെലവ് നിങ്ങൾ കണ്ടെത്തി. ഏത് ഫലവും പരീക്ഷണ സമയത്ത് നിന്ന ഉത്തരത്തിന് പകരം തടസ്സ സമയത്ത് നിൽക്കുന്ന ഉത്തരം നൽകുന്നു.

നിയന്ത്രിത ഫ്ലീറ്റിൽ, വിന്യാസത്തിന്റെ ഉടമ മൂന്ന് കാര്യങ്ങൾ പേരിടാൻ കഴിയണം: ക്രെഡൻഷ്യലുകൾ എവിടെ നിന്ന് വരുന്നു, എവിടെ സൂക്ഷിക്കുന്നു, ആരാണ് അവ റൊട്ടേറ്റ് ചെയ്യുന്നത്. ആ ഉത്തരങ്ങളിൽ ഏതെങ്കിലും ഹോസ്റ്റ് സെറ്റപ്പ് ചെയ്ത വ്യക്തിയാണെങ്കിൽ, ഓപ്ഷൻ അവിടെ ഇപ്പോഴും സുരക്ഷിതമല്ല.