OpenVPN auth-nocache: kaj se zgodi ob naslednji prijavi

Vklopite auth-nocache in opozorilo o predpomnjenju gesla izgine, skupaj s kopijo poverilnic, ki jo je OpenVPN hranil za naslednje ponovno pogajanje. Ali bo to postalo poziv, tiho ponovno poskušanje ali prekinjen tunel, je odvisno od tega, od kod pridejo poverilnice drugič. Zato je to primerjava med oblikami uvajanja in ne sodba o tej možnosti. Preberite obliko, ki jo dejansko izvajate, preden uredite kateri koli profil.

Od kod mora priti drugi niz poverilnic

OpenVPN uporabi auth-nocache za skrivnosti, ki jih zbereta auth-user-pass in askpass: ko so uporabljene, jih proces zavrže, namesto da bi jih hranil za naslednje rokovanje. Ponovno pogajanje pride po časovniku, privzeto enkrat na uro, zato drugi zahtevek prispe dolgo po tem, ko je oseba, ki je vnesla geslo, že odšla. Ta vrzel je vsa zgodba. Če je predpomnilnik vklopljen, odjemalec predvaja shranjeno kopijo, ne da bi koga vprašal; če je izklopljen, mora skrivnost najti drugje ali spodleteti.

Zato naštejte vsak kraj, od koder bi skrivnost v tistem trenutku lahko prišla, in bodite pošteni glede tega, kateri od njih obstajajo na gostitelju. Človek ob terminalu, datoteka, ki jo lahko prebereta auth-user-pass ali askpass, ali žeton seje, ki ga izda strežnik, so trije, ki tu štejejo. Če ni na voljo nobenega, ponovno pogajanje spodleti uro po spremembi in ne v trenutku, ko ste jo izvedli.

Tri oblike, tri točke odpovedi

Namizni odjemalec s človekom spredaj je blag primer: poziv se vrne, nekdo znova vnese geslo, cena pa je pozornost. Storitev, vsebnik ali usmerjevalnik, ki izvaja OpenVPN brez terminala, je trd primer, ker ni nikogar, ki bi odgovoril, in povezava, ki je bila včasih tiha, zdaj konča tunel. Hibrid stoji med obema in se obnaša kot namizni primer, dokler ne izgine seja, ki bi lahko odgovorila na poziv. Ne loči jih to, ali je nameščen GUI, ampak to, ali v času ponovnega pogajanja obstaja vir poverilnic.

Preden karkoli spremenite, svoje uvajanje preslikajte na eno od teh treh oblik, ker je nasvet, ki ga najdete na spletu, skoraj vedno napisan za prvo. Uporaba namiznega odgovora na storitvi brez terminala je način, kako tunel, ki je deloval mesece, začne vsako uro padati.

Direktiva ali zastavica: izberite eno in vedite, katero ste uporabili

Znotraj profila je auth-nocache samostojna vrstica; pri klicu, ki profil izrecno poimenuje, je zastavica na tisti ukazni vrstici, in priročnik OpenVPN navaja obe obliki. Obe naredita isto pri zadrževanju poverilnic in nobena ne posega v vrsto vmesnika niti ne popravi nepovezanega opozorila v istem dnevniku. Razlika je v trajnosti: zastavica velja le za tisto izvajanje, zato storitev, ponovno zagnana iz datoteke unit ali ovojnega skripta, tega ne bo imela, razen če ga ovoj tudi posreduje.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Odločite, kateri artefakt ima nastavitev, jo spremenite tam in nikjer drugje. Profil, urejen na prenosniku, plus enota systemd, ki ga prepiše z zastavico, je par, ki po ponovnem zagonu ustvari protislovno vedenje.

Datoteka s poverilnicami premakne skrivnost, namesto da bi jo izbrisala

Usmeritev auth-user-pass na datoteko vsakemu poznejšemu ponovnemu pogajanju da vir in geslo postavi nekam, kjer preživi ponovne zagone. Vprašajte, kdo lahko bere to datoteko, ali jo demon po odpovedi privilegijem še lahko bere in kaj se zgodi, ko je datotečni sistem priklopljen samo za branje ali pogled vsebnika skrije pot. Skrivnost na disku in skrivnost v pomnilniku sta različna problema, in rešitev enega pusti drugo na mestu. Rotacija je korak, ki se preskoči: geslo, spremenjeno na strežniku, a ne v datoteki, povzroči odpoved, ki se bere kot omrežna napaka.

Datoteko imejte v lasti računa, ki izvaja demona, neberljivo za nikogar drugega in zunaj varnostnih kopij, ki zapustijo gostitelja. Strežniška možnost OpenVPN auth-gen-token po uspešni prijavi odjemalcu preda žeton seje, kar je manjša stvar za puščanje naokoli kot geslo računa. Korak rotacije vseeno zapišite ob datoteko, ker datoteka običajno preživi osebo, ki jo je ustvarila.

Raztegovanje ponovnega pogajanja premakne strošek, ne odpravi ga

Drugi predlog je dvigniti reneg-sec, dokler poziv ni dovolj redek, da ga je mogoče prezreti. To prepiše urnik rotacije ključev seje in potisne isto težavo s poverilnicami v poznejši, manj predvidljiv trenutek; vira poverilnic ne ustvari. Politike, ki iz nekega razloga obnavlja ključe po urniku, ne bi smeli omiliti samo zato, da se izognemo vnosu gesla.

Preizkusite ponovno povezavo, ne seje, v kateri sedite, ker živa seja ničesar ne dokaže. Spustite tunel s strežniške strani ali znova zaženite odjemalsko storitev in opazujte, kaj naredi naslednje ponovno pogajanje, ko nikogar ni za tipkovnico. Če se znova poveže, poimenujte mehanizem, ki je zagotovil skrivnost; če ne, ste našli resnično ceno te možnosti na tem gostitelju. Vsak izid vam da odgovor, ki velja med izpadom, namesto odgovora, ki je veljal med testiranjem.

V upravljani floti bi moral tisti, ki ima uvajanje, znati poimenovati tri stvari: od kod pridejo poverilnice, kje so shranjene in kdo jih rotira. Če je kateri od teh odgovorov oseba, ki je nastavila gostitelja, možnost tam še ni varna.