auth-nocache ба итгэмжлэлийн файл: тусална уу, хор хөнөөлтэй юу?

OpenVPN ажиллагаа эхлэхэд auth-nocache сонголтыг санал болгосон анхааруулга хэвлэдэг бөгөөд уруу татсан хариу нь сонголтыг нэмж, мөр алга болохыг харах юм. Тэр зөвлөгөө интерактив нэвтрэлтийг тооцдог. Хэрэглэгчийн нэр, нууц үг файлд амьдарч эхлэхэд харьцуулалт өөрчлөгдөнө: сонголт байнгын хуулбарыг хамгаалахаа болино, эрх мэдлээс татгалздаг клиент дээр хожим дахин хэлэлцээрийг эвдэж болно. Профайлыг засахын өмнө хоёр хадгалалтын загварыг тусад нь барих нь зүйтэй.

Итгэмжлэлийн хүсэлтэд хариулах хоёр арга

Эхний загвар нь терминалд итгэмжлэл бичиж буй хүн, эсвэл сессийн турш тэдгээрийг хадгалдаг удирдлагын интерфэйс юм. OpenVPN тэр хуулбарыг хадгалдаг тул дараагийн дахин хэлэлцээрт дахин асуулгүй хариулж чадна, анхааруулга яг үүний тухай юм. Диск дээр юу ч оролцохгүй тул хамгаалах цорын ганц зүйл бол утгыг барьж буй процесс юм. Клиентийг хаа, хуулбарыг ч бас аваад явна.

Хоёр дахь загвар нь файл руу заасан auth-user-pass бөгөөд файл нь агуулах, утга хэрэгтэй үед клиент түүнийг уншдаг. Энд чухал өртөлт нь процессын санах ой биш, харин тэр файлын зөвшөөрөл, өмчлөл юм. Ажиллагааны анхааруулга нь тохиргооны заавраас гардаг, нууц үгийг хэрхэн өгч байгааг шалгаснаас биш, тиймээс хоёр загварт хоёуланд нь гарч, аль нэг рүү нь заадаггүй.

Энэ харьцуулалтын үлдсэн хэсэг нь тэр хуваалтаас үүдэлтэй: нэг загварт санах ойн боловсруулалт, нөгөөд файлын боловсруулалт ба процессын таних тэмдэг.

auth-nocache үнэндээ юуг устгадаг вэ

Интерактив нэвтрэлтийн үед --auth-nocache ашигласны дараа хадгалсан хуулбарыг санах ойгоос хасдаг. Үнэ нь дахин хэлэлцээрийн интервал бүрт шинэ хүсэлт, учир нь дараагийн тойрог устгасан зүйлийг дахин ашиглаж чадахгүй.

Файлд тулгуурласан нэвтрэлтийн үед клиент файлыг дахин уншиж чадна, тиймээс устгал ихэвчлэн үл үзэгдэх юм. Энэ нь хүмүүсийн хүлээдэггүй ганц газарт илэрдэг: демон эрх мэдлээс татгалзсаны дараа, итгэмжлэлийн файлыг одоо ажиллаж буй бүртгэл уншиж чадахгүй бол.

Энэ солилцоог ойлгож байгаа учраас сонголтыг нэм, анхааруулга гарсан учраас биш. Бүртгэлийг тайвшруулахын тулд нэмсэн сонголт бол үр нөлөөг нь хэн ч хэмжээгүй сонголт юм.

Файлд тулгуурласан зам хаана эвдэрдэг вэ

Туннелийн төхөөрөмжийг нээхийн тулд root байдлаар эхэлж, дараа нь user болон group руу шилждэг клиент итгэмжлэлийн файлыг хоёр удаа уншдаг: нэг удаа шилжилтийн өмнө, нэг удаа дараагийн дахин хэлэлцээрт. Хэрэв файл 600 горимд, root-ын өмч бол хоёр дахь уншилт бүтэлгүйтэж, бүтэлгүйтэл нэг цагийн дараа серверийн асуудал мэт харагдах баталгаажуулалтын алдаа болж илэрдэг. Дахин хэлэлцээрийн интервалын орчим клиентийн бүртгэлийг шалга, дараа нь бүртгэл ба файлыг хамт шалга.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Хоёр мөр хоёулаа чухал. Эхнийх нь файлыг хэн уншиж болохыг, хоёр дахь нь ажиллаж буй демон үнэндээ хэн болохыг хэлдэг бөгөөд тэдгээрийн зөрүү нь нууц үгийг хэдэн ч удаа дахин бичсэн ч засахгүй бүтэлгүйтлийг тайлбарладаг.

Практик засварууд гоёл чимэггүй: файлыг демоны бүртгэл уншиж чадах хавтас, эзэн рүү зөө, эсвэл онцгой эрхтэй уншилтыг хадгалаад клиент чинь зөвхөн нэг удаа уншдаг гэдгийг батал. Файлыг бүгдэд уншигдахуйц болгож шийдэж болохгүй.

Сонголтыг үнэхээр хүсдэг тохиолдол

Нэг удаагийн кодтой нэвтрэлт auth-nocache сонголтыг өөр шалтгаанаар хүсдэг. Нэг удаагийн код эхний баталгаажуулалтад зарцуулагддаг тул кэшлэсэн хуулбар дараагийн дахин хэлэлцээрт хэрэггүй, хуучирсан утга бүр дахин тоглогдож болно.

Энэ нь итгэмжлэлийн төрлийн тухай асуудал, хаана хадгалагдах тухай биш. Хамгаалагдсан файл дахь статик нууц үг эсрэг профайлтай: тэр дахин хэлэлцээр бүрт уншигдахуйц байх ёстой, шаардлагатай хамгаалалт файл дээр байна.

Энэ хоёр шалтгааныг профайлын тайлбарт тусад нь барь, эс бөгөөс дараагийн администратор сонголтыг өөрөө сонгох шалтгаанаар байгаа гэж бодно.

Нэг шийдвэр дэх харьцуулалт

Хүн байгаа, шинэлэг байдал чухал үед интерактив загварыг сонгож, давтагдсан хүсэлтийг түүний үнэ гэж хүлээн зөвшөөр. Клиент хяналтгүй ажиллах үед файлын загварыг сонгож, хүч хөдөлмөрийг өмчлөл, горим, эрх мэдлээс татгалзахад зарцуул.

Аль ч загвар хадгалсан нууц үгийг дангаараа аюулгүй болгодоггүй, аль нь ч ажиллагааны анхааруулгыг утга учиртай болгодоггүй.

Хэрэв анхааруулга профайлыг нээсэн цорын ганц шалтгаан байсан бол тайлбаргүй сонголтын оронд шийдвэрийг бич: итгэмжлэл нь демоны бүртгэл уншиж чадах файлаас ирдэг, дахин хэлэлцээр амжилттай болохыг харсан, интервалыг өөрчлөхийн өмнө OpenVPN 2.6 гарын авлагын дахин хэлэлцээрийн хэсгийг уншсан. Тэр тэмдэглэл аливаа ганц флагаас урт насална.