auth-nocache आणि ओळखपत्र फाइल: मदत करते की नुकसान?

OpenVPN सुरू होताना auth-nocache सुचवणारा इशारा छापतो, आणि मोहक प्रतिक्रिया म्हणजे पर्याय जोडून ओळ गायब होताना पाहणे. तो सल्ला परस्परसंवादी लॉगिन गृहीत धरतो. वापरकर्तानाव आणि संकेतशब्द फाइलमध्ये राहू लागताच तुलना बदलते: पर्याय टिकाऊ प्रतिचे संरक्षण करणे थांबवतो, आणि विशेषाधिकार सोडणाऱ्या क्लायंटवर तो नंतर पुनर्बोलणी तोडू शकतो. प्रोफाइल संपादित करण्यापूर्वी दोन साठवण मॉडेल वेगळी ठेवणे योग्य आहे.

ओळखपत्र विनंतीला उत्तर देण्याचे दोन मार्ग

पहिले मॉडेल म्हणजे टर्मिनलमध्ये ओळखपत्रे टाइप करणारी व्यक्ती, किंवा सत्रासाठी ती ठेवणारा व्यवस्थापन इंटरफेस. OpenVPN ती प्रत ठेवतो जेणेकरून पुढील पुनर्बोलणीला पुन्हा न विचारता उत्तर देता येईल, आणि इशारा नेमका त्याबद्दल आहे. डिस्कवर काहीही सहभागी नाही, त्यामुळे संरक्षित करण्यासारखी एकमेव गोष्ट मूल्य धरून ठेवणारी प्रक्रिया आहे. क्लायंट बंद करा आणि प्रतही त्याच्यासोबत जाते.

दुसरे मॉडेल फाइलकडे निर्देश करणारा auth-user-pass आहे, जिथे फाइलच भांडार आहे आणि मूल्य आवश्यक असल्यास क्लायंट ती वाचतो. येथे महत्त्वाचा धोका प्रक्रियेची मेमरी नाही, तर त्या फाइलच्या परवानग्या आणि मालकी. सुरुवातीचा इशारा कॉन्फिगमधील निर्देशांमधून येतो, तुम्ही संकेतशब्द कसा देतात याच्या तपासणीतून नाही, त्यामुळे तो दोन्ही मॉडेलमध्ये दिसतो आणि कोणाकडेही निर्देश करत नाही.

या तुलनेचा उर्वरित भाग त्या विभाजनातून येतो: एका मॉडेलसाठी मेमरी हाताळणी, दुसऱ्यासाठी फाइल हाताळणी आणि प्रक्रियेची ओळख.

auth-nocache प्रत्यक्षात काय टाकून देतो

परस्परसंवादी लॉगिनसह, --auth-nocache वापरल्यानंतर साठवलेली प्रत मेमरीतून काढून टाकतो. किंमत म्हणजे प्रत्येक पुनर्बोलणी अंतराने नवीन विनंती, कारण पुढील फेरी टाकून दिलेले पुन्हा वापरू शकत नाही.

फाइल-आधारित लॉगिनमध्ये क्लायंट फाइल पुन्हा वाचू शकतो, त्यामुळे टाकून देणे बहुतेक अदृश्य असते. ते एकाच ठिकाणी दिसते जिथे लोक अपेक्षा करत नाहीत: डेमनने विशेषाधिकार सोडल्यानंतर, जर ओळखपत्र फाइल आता ज्या खात्याखाली तो चालतो त्याला वाचता येत नसेल.

तो देवघेव समजते म्हणून पर्याय जोडा, इशारा दिसला म्हणून नाही. लॉग शांत करण्यासाठी जोडलेला पर्याय असा पर्याय आहे ज्याचा परिणाम कोणीही मोजला नाही.

फाइल-आधारित मार्ग कुठे तुटतो

टनेल उपकरण उघडण्यासाठी root म्हणून सुरू होऊन नंतर user आणि group कडे जाणारा क्लायंट ओळखपत्र फाइल दोन वेळा वाचतो: एकदा बदलापूर्वी, एकदा त्यानंतरच्या पुनर्बोलणीत. फाइल मोड 600 मध्ये असल्यास आणि root ची असल्यास दुसरे वाचन अयशस्वी होते, आणि अयशस्वीता एका तासानंतर सर्व्हर समस्येसारखी दिसणारी प्रमाणीकरण त्रुटी म्हणून दिसते. पुनर्बोलणी अंतराभोवती क्लायंट लॉग तपासा, नंतर खाते आणि फाइल एकत्र तपासा.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

दोन्ही ओळी महत्त्वाच्या आहेत. पहिली फाइल कोण वाचू शकतो ते सांगते, दुसरी चालू असलेला डेमन प्रत्यक्षात कोण आहे ते सांगते, आणि त्यांच्यातील तफावत अशा अयशस्वीतेचे स्पष्टीकरण देते जी संकेतशब्द कितीही वेळा पुन्हा लिहिल्याने सुधारणार नाही.

व्यावहारिक दुरुस्त्या भपकेबाज नाहीत: फाइल डेमनचे खाते वाचू शकेल अशा डिरेक्टरीत आणि मालकाकडे हलवा, किंवा विशेषाधिकारित वाचन ठेवा आणि तुमचा क्लायंट एकदाच वाचतो याची खात्री करा. फाइल सर्वांना वाचनीय करून हे सोडवू नका.

पर्याय खरोखर हवा असलेला प्रसंग

एकवेळा वापराचा कोड असलेले लॉगिन auth-nocache वेगळ्या कारणासाठी इच्छितो. एकवेळा वापराचा कोड पहिल्या प्रमाणीकरणात संपतो, त्यामुळे कॅशे केलेली प्रत पुढील पुनर्बोलणीत निरुपयोगी आहे आणि जुने मूल्य पुन्हा चालवलेही जाऊ शकते.

हे ओळखपत्राच्या प्रकाराबद्दलचे प्रश्न आहे, ते कुठे साठवले जाते याबद्दल नाही. संरक्षित फाइलमधील स्थिर संकेतशब्दाचे उलटे स्वरूप असते: तो प्रत्येक पुनर्बोलणीत वाचनीय असला पाहिजे, आणि आवश्यक संरक्षण फाइलवर आहे.

या दोन कारणांना प्रोफाइल टिप्पण्यांमध्ये वेगळे ठेवा, अन्यथा पुढील प्रशासक पर्याय आपण निवडलेल्या कारणासाठी आहे असे गृहीत धरेल.

एका निर्णयातील तुलना

व्यक्ती उपस्थित असेल आणि ताजेपणा महत्त्वाचा असेल तेव्हा परस्परसंवादी मॉडेल निवडा, आणि वारंवारची विनंती त्याची किंमत म्हणून स्वीकारा. क्लायंट देखरेखीशिवाय चालत असेल तेव्हा फाइल मॉडेल निवडा, आणि श्रम मालकी, मोड आणि विशेषाधिकार सोडण्यावर खर्च करा.

कोणतेही मॉडेल साठवलेला संकेतशब्द स्वतःच सुरक्षित करत नाही, आणि कोणतेही सुरुवातीचा इशारा अर्थपूर्ण करत नाही.

इशाराच प्रोफाइल उघडण्याचे एकमेव कारण असेल, तर अस्पष्ट पर्यायाऐवजी निर्णय नोंदवा: ओळखपत्रे डेमनचे खाते वाचू शकेल अशा फाइलमधून येतात, पुनर्बोलणी यशस्वी होताना दिसली आहे, आणि अंतर बदलण्यापूर्वी OpenVPN 2.6 मार्गदर्शकातील पुनर्बोलणीविषयक भाग वाचला गेला. ती नोंद कोणत्याही एका फ्लॅगपेक्षा जास्त टिकते.