OpenVPN auth-nocache: kinachotokea kwenye kuingia kunakofuata

Washa auth-nocache na onyo la kuhifadhi neno la siri kwenye akiba linatoweka, pamoja na nakala ya vitambulisho ambavyo OpenVPN ilikuwa imevishikilia kwa mazungumzo mapya yanayofuata. Ikiwa hilo litakuwa ombi, jaribio la kimya au handaki lililokatika inategemea vitambulisho vinatoka wapi mara ya pili. Kwa hivyo huu ni ulinganisho kati ya aina za usambazaji, si uamuzi kuhusu chaguo hili. Soma aina unayoendesha kweli kabla ya kuhariri wasifu wowote.

Vitambulisho vya pili vinapaswa kutoka wapi

OpenVPN inatumia auth-nocache kwa siri zinazokusanywa na auth-user-pass na askpass: zikitumika, mchakato huzitupa badala ya kuzishikilia kwa makubaliano yanayofuata. Mazungumzo mapya hufika kwa kipima muda, kwa kawaida mara moja kwa saa, kwa hivyo ombi la pili hufika muda mrefu baada ya mtu aliyechapa neno la siri kuondoka. Pengo hilo ndilo hadithi yote. Akiba ikiachwa imewashwa, mteja hurudia nakala iliyohifadhiwa bila kumuuliza mtu yeyote; ikiwa imezimwa, lazima apate siri mahali pengine au ashindwe.

Kwa hivyo orodhesha kila mahali ambapo siri inaweza kutoka wakati huo, na uwe mwaminifu kuhusu ipi kati ya hizo ipo kwenye mwenyeji. Mtu kwenye terminali, faili ambayo auth-user-pass au askpass wanaweza kuisoma, au tokeni ya kikao iliyotolewa na seva ni tatu ambazo ni muhimu hapa. Ikiwa hakuna hata moja inayopatikana, mazungumzo mapya hushindwa saa moja baada ya mabadiliko, si wakati uliofanya.

Aina tatu, sehemu tatu za kushindwa

Mteja wa kompyuta ya mezani mwenye mtu mbele ni kisa chepesi: ombi hurudi, mtu huchapa neno la siri tena, na gharama ni umakini. Huduma, kontena au kipanga njia kinachoendesha OpenVPN bila terminali ni kisa kigumu, kwa sababu hakuna mtu wa kujibu na muunganisho ambao zamani ulikuwa kimya sasa unamaliza handaki. Mseto hukaa kati ya vyote viwili na hufanya kama kisa cha mezani hadi kikao kilichoweza kujibu ombi kitoweke. Kinachowatenganisha si kama GUI imesakinishwa, bali kama kuna chanzo cha vitambulisho wakati wa mazungumzo mapya.

Panga usambazaji wako kwenye mojawapo ya hayo matatu kabla ya kubadilisha chochote, kwa sababu ushauri unaoupata mtandaoni karibu kila mara umeandikwa kwa ajili ya wa kwanza. Kutumia jibu la mezani kwa huduma isiyo na terminali ndiyo njia ambayo handaki iliyofanya kazi kwa miezi huanza kuanguka kila saa.

Maelekezo au bendera: chagua moja na ujue uliyotumia

Ndani ya wasifu, auth-nocache ni mstari wake; kwenye wito unaotaja wasifu waziwazi, ni bendera kwenye mstari huo wa amri, na mwongozo wa OpenVPN huorodhesha aina zote mbili. Zote mbili hufanya kitu kimoja kuhusu kushikilia vitambulisho, na hakuna inayogusa aina ya kiolesura au kurekebisha onyo lisilohusiana kwenye kumbukumbu moja. Tofauti ni uendelevu: bendera inashughulikia uendeshaji huo pekee, kwa hivyo huduma inayoanzishwa upya kutoka faili ya unit au skripti ya kifuniko haitakuwa nayo isipokuwa kifuniko pia kiipitishe.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Amua ni kipengele kipi kinachomiliki mpangilio, kibadilishe hapo na si mahali pengine. Wasifu uliohaririwa kwenye kompyuta ya mkononi pamoja na unit ya systemd inayoupindua kwa bendera ni jozi inayozalisha tabia inayopingana baada ya kuwasha upya.

Faili ya vitambulisho huhamisha siri badala ya kuifuta

Kuelekeza auth-user-pass kwenye faili humpa kila mazungumzo mapya yanayofuata chanzo, na pia huweka neno la siri mahali panapostahimili kuwasha upya. Uliza nani anaweza kusoma faili hilo, kama daemon bado anaweza kulisoma baada ya kuachia mapendeleo, na nini kinatokea wakati mfumo wa faili umepachikwa kwa kusoma tu au mwonekano wa kontena unaficha njia. Siri iliyo kwenye diski na siri iliyo kwenye kumbukumbu ni matatizo tofauti, na kutatua moja kunaacha lingine mahali pake. Mzunguko ndio hatua inayorukwa: neno la siri lililobadilishwa kwenye seva lakini si kwenye faili huzalisha hitilafu inayosomwa kama hitilafu ya mtandao.

Shikilia faili likiwa milki ya akaunti inayoendesha daemon, lisilosomeka na mtu mwingine yeyote, na nje ya nakala za akiba zinazoondoka kwenye mwenyeji. Chaguo la upande wa seva la OpenVPN auth-gen-token humpa mteja tokeni ya kikao baada ya kuingia kwa mafanikio, ambayo ni kitu kidogo kuacha kizungukizungu kuliko neno la siri la akaunti. Andika hatua ya mzunguko kando ya faili kwa vyovyote vile, kwa sababu faili kwa kawaida huishi zaidi ya mtu aliyeilitengeneza.

Kurefusha mazungumzo mapya huhamisha gharama, hakuiondoi

Pendekezo lingine ni kuongeza reneg-sec hadi ombi liwe nadra vya kutosha kupuuzwa. Hilo huandika upya ratiba ya mzunguko wa funguo za kikao na kusukuma tatizo lilelile la vitambulisho hadi wakati wa baadaye usiotabirika; halizalishi chanzo cha vitambulisho. Sera inayohuisha funguo kwa ratiba kwa sababu fulani haipaswi kulegezwa eti tu kuepuka kuchapa neno la siri.

Jaribu muunganisho upya na si kikao ulichokaa ndani yake, kwa sababu kikao hai hakithibitishi chochote. Dondosha handaki kutoka upande wa seva, au anzisha upya huduma ya mteja, na uangalie mazungumzo mapya yanayofuata yanafanya nini wakati hakuna mtu kwenye kibodi. Ikijiunga tena, taja utaratibu uliotoa siri; ikiwa sivyo, umepata gharama halisi ya chaguo kwenye mwenyeji huyu. Matokeo yoyote yanakupa jibu linalodumu wakati wa kukatika badala ya lile lililodumu wakati wa majaribio.

Katika kundi linalosimamiwa, mmiliki wa usambazaji anapaswa kuweza kutaja mambo matatu: vitambulisho vinatoka wapi, vinahifadhiwa wapi, na nani anavizungusha. Ikiwa jibu lolote kati ya hayo ni mtu aliyeweka mwenyeji, chaguo bado si salama hapo.