OpenVPN auth-nocache: шта се дешава при следећој пријави

Укључите auth-nocache и упозорење о кеширању лозинке нестаје, заједно са копијом акредитива коју је OpenVPN држао за следеће преговарање. Да ли ће то постати захтев, тихи покушај или прекинут тунел, зависи од тога одакле акредитиви долазе други пут. Зато је ово поређење облика распоређивања, а не пресуда о опцији. Прочитајте облик који заиста извршавате пре него што уредите било који профил.

Одакле мора да дође други скуп акредитива

OpenVPN примењује auth-nocache на тајне које прикупљају auth-user-pass и askpass: након употребе процес их одбацује уместо да их држи за следеће руковање. Поновно преговарање долази по тајмеру, подразумевано једном на сат, па други захтев стиже много после одласка особе која је унела лозинку. Та празнина је цела прича. Ако кеш остане укључен, клијент репродукује сачувану копију не питајући никога; ако је искључен, мора да нађе тајну на другом месту или да не успе.

Зато наведите свако место одакле тајна може да дође у том тренутку и будите искрени који од њих постоје на хосту. Особа пред терминалом, датотека коју могу да прочитају auth-user-pass или askpass, или сесијски токен који издаје сервер су три која су овде важна. Ако ниједан није доступан, поновно преговарање не успева сат после промене, а не у тренутку када сте је направили.

Три облика, три тачке отказа

Десктоп клијент са особом испред је благи случај: захтев се враћа, неко поново уноси лозинку, а цена је пажња. Услуга, контејнер или рутер који извршава OpenVPN без терминала је тврди случај, јер нема кога да одговори и веза која је некад била тиха сада завршава тунел. Хибрид стоји између њих и понаша се као десктоп случај док не нестане сесија која је могла да одговори на захтев. Оно што их раздваја није да ли је инсталиран GUI, већ да ли постоји извор акредитива у тренутку поновног преговарања.

Пре него што било шта промените, пресликајте своје распоређивање на један од та три облика, јер савет који нађете на интернету скоро је увек написан за први. Примена десктоп одговора на услугу без терминала је начин на који тунел који је радио месецима почиње да пада сваког сата.

Директива или заставица: изаберите једну и знајте коју сте користили

Унутар профила auth-nocache је посебан ред; у позиву који профил изричито именује то је заставица на тој командној линији, а приручник OpenVPN-а наводи оба облика. Обе раде исто са задржавањем акредитива и ниједна не дира тип интерфејса нити поправља неповезано упозорење у истом дневнику. Разлика је у трајности: заставица покрива само то извршавање, па услуга рестартована из unit датотеке или омотача неће је имати осим ако је омотач такође проследи.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Одлучите који артефакт поседује подешавање, промените га тамо и нигде другде. Профил уређен на преносном рачунару плус systemd unit који га надјачава заставицом је пар који производи противречно понашање после рестарта.

Датотека са акредитивима премешта тајну уместо да је брише

Усмеравање auth-user-pass на датотеку даје сваком каснијем поновном преговарању извор и ставља лозинку на место које преживљава рестарте. Питајте ко може да чита ту датотеку, да ли демон још може да је чита после одрицања привилегија и шта се дешава када је датотечни систем монтиран само за читање или приказ контејнера сакрије путању. Тајна на диску и тајна у меморији су различити проблеми, а решавање једног оставља друго на месту. Ротација је корак који се прескаче: лозинка промењена на серверу али не у датотеци даје отказ који се чита као мрежни квар.

Држите датотеку у власништву налога који покреће демон, нечитљиву за никога другог, и изван резервних копија које напуштају хост. Серверска опција auth-gen-token у OpenVPN-у даје клијенту сесијски токен после успешне пријаве, што је мања ствар за остављање около од лозинке налога. Запишите корак ротације поред датотеке у сваком случају, јер датотека обично надживи особу која ју је направила.

Продужавање поновног преговарања премешта цену, не уклања је

Други предлог је да се повећа reneg-sec док захтев не постане довољно редак да се игнорише. То преписује распоред ротације кључева сесије и гура исти проблем са акредитивима у каснији, мање предвидљив тренутак; то не ствара извор акредитива. Политику која обнавља кључеве по распореду из неког разлога не треба олабављивати само да би се избегло уношење лозинке.

Тестирајте поновно повезивање, а не сесију у којој седите, јер жива сесија ништа не доказује. Обарајте тунел са серверске стране или рестартујте клијентску услугу и гледајте шта ће следеће поновно преговарање да уради када нико није за тастатуром. Ако се поново повеже, именујте механизам који је доставио тајну; ако не, нашли сте праву цену опције на овом хосту. Сваки исход вам даје одговор који важи током прекида, уместо оног који је важио током тестирања.

У управљаној флоти, власник распоређивања треба да уме да именује три ствари: одакле долазе акредитиви, где се чувају и ко их ротира. Ако је неки од тих одговора особа која је подесила хост, опција тамо још није безбедна.