OpenVPN auth-nocache: çfarë ndodh në hyrjen tjetër

Aktivizoni auth-nocache dhe paralajmërimi për ruajtjen e fjalëkalimit në cache zhduket, bashkë me kopjen e kredencialeve që OpenVPN mbante për rinegociimin e radhës. Nëse kjo bëhet një kërkesë, një provë e heshtur ose një tunel i ndërprerë varet nga fakti se nga vijnë kredencialet herën e dytë. Prandaj ky është një krahasim midis formave të vendosjes dhe jo një verdikt mbi opsionin. Lexoni formën që ekzekutoni vërtet përpara se të redaktoni çdo profil.

Nga duhet të vijë grupi i dytë i kredencialeve

OpenVPN zbaton auth-nocache te sekretet që mbledhin auth-user-pass dhe askpass: pasi përdoren, procesi i hedh ato në vend që t'i mbajë për shtrëngimin e radhës të duarve. Rinegociimi vjen me kohëmatës, si parazgjedhje një herë në orë, kështu që kërkesa e dytë vjen shumë kohë pasi personi që shkroi fjalëkalimin është larguar. Ai hendek është e gjithë historia. Nëse cache-i lihet i aktivizuar, klienti riprodhon kopjen e ruajtur pa pyetur askënd; nëse është i çaktivizuar, duhet ta gjejë sekretin diku tjetër ose të dështojë.

Prandaj renditni çdo vend nga i cili sekreti mund të vijë në atë moment dhe jini të sinqertë se cilat prej tyre ekzistojnë në host. Një person në një terminal, një skedar që auth-user-pass ose askpass mund të lexojnë, ose një token sesioni i lëshuar nga serveri janë tre që kanë rëndësi këtu. Nëse asnjëri nuk është i disponueshëm, rinegociimi dështon një orë pas ndryshimit dhe jo në momentin kur e bëtë atë.

Tre forma, tre pika dështimi

Një klient desktopi me një person përpara është rasti i butë: kërkesa kthehet, dikush e shkruan përsëri fjalëkalimin dhe kostoja është vëmendja. Një shërbim, kontejner ose ruter që ekzekuton OpenVPN pa terminal është rasti i ashpër, sepse nuk ka kush të përgjigjet dhe lidhja që dikur ishte e heshtur tani përfundon tunelin. Një hibrid qëndron midis të dyjave dhe sillet si rasti i desktopit derisa të zhduket sesioni që mund të përgjigjej kërkesës. Ajo që i ndan nuk është nëse është instaluar një GUI, por nëse ekziston një burim kredencialesh në kohën e rinegociimit.

Hartëzoni vendosjen tuaj në një nga këto tre forma përpara se të ndryshoni diçka, sepse këshilla që gjeni në internet është pothuajse gjithmonë e shkruar për të parën. Zbatimi i përgjigjes së desktopit në një shërbim pa terminal është mënyra se si një tunel që funksionoi me muaj fillon të bjerë çdo orë.

Direktivë ose flamur: zgjidhni një dhe dijeni cilën përdorët

Brenda një profili, auth-nocache është rresht më vete; në një thirrje që emërton shprehimisht një profil, është flamur në atë rresht komande, dhe manual i OpenVPN rendit të dyja format. Të dyja bëjnë të njëjtën gjë me mbajtjen e kredencialeve dhe asnjëra nuk prek llojin e ndërfaqes ose nuk rregullon një paralajmërim të palidhur në të njëjtin regjistër. Dallimi është qëndrueshmëria: flamuri mbulon vetëm atë ekzekutim, kështu që një shërbim i rinisur nga një skedar unit ose skript mbështjellës nuk do ta ketë, përveç nëse mbështjellësi e transmeton edhe ai.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Vendosni cili artefakt zotëron cilësimin, ndryshojeni atje dhe askund tjetër. Një profil i redaktuar në laptop plus një unit systemd që e anashkalon me një flamur është çifti që prodhon sjellje kontradiktore pas një rinisjeje.

Një skedar kredencialesh e zhvendos sekretin në vend që ta fshijë

Drejtimi i auth-user-pass në një skedar i jep çdo rinegociimi të mëpasshëm një burim dhe e vendos fjalëkalimin diku që i mbijeton rinisjeve. Pyetni kush mund ta lexojë atë skedar, nëse daemoni ende mund ta lexojë pas heqjes dorë nga privilegjet dhe çfarë ndodh kur sistemi i skedarëve është montuar vetëm-lexim ose një pamje kontejneri e fsheh shtegun. Një sekret në disk dhe një sekret në memorie janë probleme të ndryshme, dhe zgjidhja e njërës e lë tjetrën në vend. Rrotacioni është hapi që anashkalohet: një fjalëkalim i ndryshuar në server por jo në skedar prodhon një dështim që lexohet si defekt rrjeti.

Mbajeni skedarin në pronësi të llogarisë që ekzekuton daemonin, të palexueshëm nga askush tjetër dhe jashtë kopjeve rezervë që lënë hostin. Opsioni auth-gen-token në anën e serverit të OpenVPN i jep klientit një token sesioni pas një hyrjeje të suksesshme, që është një gjë më e vogël për t'u lënë rreth e qark sesa fjalëkalimi i llogarisë. Shkruani hapin e rrotacionit pranë skedarit gjithsesi, sepse skedari zakonisht jeton më gjatë se personi që e krijoi.

Zgjatja e rinegociimit e zhvendos koston, nuk e heq

Sugjerimi tjetër është të rritet reneg-sec derisa kërkesa të jetë mjaft e rrallë për t'u injoruar. Kjo rishkruan orarin e rrotacionit të çelësave të sesionit dhe e shtyn të njëjtin problem të kredencialeve në një moment më të vonë dhe më pak të parashikueshëm; nuk krijon një burim kredencialesh. Një politikë që rinovon çelësat sipas një orari për ndonjë arsye nuk duhet zbutur vetëm për të shmangur shtypjen e një fjalëkalimi.

Testoni rilidhjen dhe jo sesionin ku jeni ulur, sepse sesioni i gjallë nuk provon asgjë. Lëreni tunelin të bjerë nga ana e serverit, ose rinisni shërbimin e klientit, dhe vëzhgoni çfarë bën rinegociimi tjetër kur askush nuk është në tastierë. Nëse rilidhet, emërtoni mekanizmin që furnizoi sekretin; nëse jo, keni gjetur koston reale të opsionit në këtë host. Çdo rezultat ju jep një përgjigje që qëndron gjatë një ndërprerjeje në vend të një që qëndroi gjatë testimit.

Në një flotë të menaxhuar, pronari i vendosjes duhet të jetë në gjendje të emërtojë tre gjëra: nga vijnë kredencialet, ku ruhen dhe kush i rrotullon ato. Nëse ndonjë nga ato përgjigje është personi që konfiguroi hostin, opsioni nuk është ende i sigurt atje.