OpenVPN auth-nocache: apa yang berlaku pada log masuk seterusnya

Hidupkan auth-nocache dan amaran cache kata laluan hilang, bersama salinan kelayakan yang dipegang OpenVPN untuk rundingan semula seterusnya. Sama ada ia menjadi gesaan, cubaan semula senyap atau terowong yang terputus bergantung pada dari mana kelayakan datang kali kedua. Oleh itu ini perbandingan antara bentuk penggunaan, bukan keputusan tentang pilihan itu. Baca bentuk yang benar-benar anda jalankan sebelum menyunting mana-mana profil.

Dari mana set kelayakan kedua perlu datang

OpenVPN menggunakan auth-nocache pada rahsia yang dikumpul auth-user-pass dan askpass: selepas digunakan, proses membuangnya dan bukannya menyimpannya untuk jabat tangan seterusnya. Rundingan semula tiba mengikut pemasa, secara lalai sekali sejam, jadi permintaan kedua tiba lama selepas orang yang menaip kata laluan itu beredar. Jurang itulah keseluruhan ceritanya. Jika cache dibiarkan hidup, klien memainkan semula salinan tersimpan tanpa bertanya kepada sesiapa; jika dimatikan, ia perlu mencari rahsia di tempat lain atau gagal.

Jadi senaraikan setiap tempat rahsia itu boleh datang pada saat itu, dan jujurlah tentang mana antaranya wujud pada hos. Seseorang di terminal, fail yang boleh dibaca auth-user-pass atau askpass, atau token sesi yang dikeluarkan pelayan ialah tiga yang penting di sini. Jika tiada satu pun tersedia, rundingan semula gagal sejam selepas perubahan itu, bukan pada saat anda melakukannya.

Tiga bentuk, tiga titik kegagalan

Klien desktop dengan seseorang di hadapannya ialah kes ringan: gesaan kembali, seseorang menaip kata laluan sekali lagi, dan kosnya ialah perhatian. Perkhidmatan, kontena atau penghala yang menjalankan OpenVPN tanpa terminal ialah kes keras, kerana tiada sesiapa untuk menjawab dan sambungan semula yang dahulunya senyap kini menamatkan terowong. Hibrid terletak antara keduanya dan berkelakuan seperti kes desktop sehingga sesi yang boleh menjawab gesaan itu hilang. Yang memisahkan mereka bukanlah sama ada GUI dipasang, tetapi sama ada sumber kelayakan wujud pada masa rundingan semula.

Petakan penggunaan anda kepada salah satu daripada tiga itu sebelum mengubah apa-apa, kerana nasihat yang anda temui dalam talian hampir selalu ditulis untuk yang pertama. Menggunakan jawapan desktop pada perkhidmatan tanpa terminal ialah cara terowong yang berfungsi berbulan-bulan mula terputus setiap jam.

Arahan atau flag: pilih satu dan ketahui yang mana anda gunakan

Di dalam profil, auth-nocache ialah baris tersendiri; pada panggilan yang menamakan profil secara eksplisit, ia ialah flag pada baris arahan itu, dan manual OpenVPN menyenaraikan kedua-dua bentuk. Kedua-duanya melakukan perkara yang sama pada penyimpanan kelayakan, dan tiada satu pun menyentuh jenis antara muka atau membaiki amaran tidak berkaitan dalam log yang sama. Bezanya ialah ketahanan: flag hanya meliputi larian itu, jadi perkhidmatan yang dimulakan semula daripada fail unit atau skrip pembalut tidak akan memilikinya melainkan pembalut itu juga menyalurkannya.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Tentukan artifak mana yang memiliki tetapan itu, ubah di situ dan bukan di tempat lain. Profil yang disunting pada komputer riba tambah unit systemd yang mengatasinya dengan flag ialah pasangan yang menghasilkan tingkah laku bercanggah selepas but semula.

Fail kelayakan memindahkan rahsia dan bukannya memadamnya

Menghalakan auth-user-pass ke fail memberi setiap rundingan semula kemudiannya sumber, dan ia juga meletakkan kata laluan di tempat yang bertahan melalui but semula. Tanya siapa yang boleh membaca fail itu, sama ada daemon masih boleh membacanya selepas melepaskan keistimewaan, dan apa yang berlaku apabila sistem fail dipasang baca-sahaja atau paparan kontena menyembunyikan laluan itu. Rahsia pada cakera dan rahsia dalam memori ialah masalah berbeza, dan menyelesaikan satu membiarkan yang lain di tempatnya. Putaran ialah langkah yang dilangkau: kata laluan yang diubah pada pelayan tetapi tidak dalam fail menghasilkan kegagalan yang dibaca seperti kerosakan rangkaian.

Simpan fail itu milik akaun yang menjalankan daemon, tidak boleh dibaca oleh orang lain, dan di luar sandaran yang meninggalkan hos. Pilihan auth-gen-token sebelah pelayan OpenVPN memberikan klien token sesi selepas log masuk berjaya, yang merupakan perkara lebih kecil untuk dibiarkan terletak daripada kata laluan akaun. Tulis langkah putaran di sebelah fail itu juga, kerana fail biasanya hidup lebih lama daripada orang yang menciptanya.

Memanjangkan rundingan semula memindahkan kos, ia tidak menghapuskannya

Cadangan lain ialah menaikkan reneg-sec sehingga gesaan itu cukup jarang untuk diabaikan. Itu menulis semula jadual putaran kunci sesi dan menolak masalah kelayakan yang sama ke saat yang lebih lewat dan kurang boleh diramal; ia tidak mencipta sumber kelayakan. Dasar yang memperbaharui kunci mengikut jadual atas sesuatu sebab tidak patut dilonggarkan hanya untuk mengelak menaip kata laluan.

Uji sambungan semula dan bukan sesi yang anda duduki, kerana sesi hidup tidak membuktikan apa-apa. Jatuhkan terowong dari sebelah pelayan, atau mulakan semula perkhidmatan klien, dan perhatikan apa yang dilakukan rundingan semula seterusnya tanpa sesiapa di papan kekunci. Jika ia bersambung semula, namakan mekanisme yang membekalkan rahsia itu; jika tidak, anda telah menemui kos sebenar pilihan ini pada hos ini. Sama ada hasilnya, ia memberi anda jawapan yang bertahan semasa gangguan dan bukannya yang bertahan semasa ujian.

Dalam armada terurus, pemilik penggunaan sepatutnya boleh menamakan tiga perkara: dari mana kelayakan datang, di mana ia disimpan, dan siapa yang memutarkannya. Jika mana-mana jawapan itu ialah orang yang menyediakan hos itu, pilihan ini belum selamat di situ.