OpenVPN auth-nocache: ano ang nangyayari sa susunod na login

I-on ang auth-nocache at mawawala ang babala tungkol sa pag-cache ng password, kasama ang kopya ng mga kredensyal na hawak ng OpenVPN para sa susunod na muling negosasyon. Kung ito ay magiging prompt, tahimik na muling pagtatangka o putol na tunnel ay depende sa kung saan galing ang mga kredensyal sa ikalawang pagkakataon. Kaya ito ay paghahambing sa pagitan ng mga anyo ng deployment at hindi hatol sa opsyon. Basahin ang anyong aktwal mong pinapatakbo bago i-edit ang anumang profile.

Saan dapat magmula ang ikalawang set ng kredensyal

Inilalapat ng OpenVPN ang auth-nocache sa mga sikretong kinokolekta ng auth-user-pass at askpass: kapag nagamit na, itinatapon ito ng proseso sa halip na itago para sa susunod na handshake. Dumarating ang muling negosasyon sa timer, isang beses kada oras bilang default, kaya dumarating ang ikalawang kahilingan matagal pagkatapos umalis ng taong nag-type ng password. Ang agwat na iyon ang buong kuwento. Kung naiwang naka-on ang cache, pina-play muli ng kliyente ang naka-save na kopya nang hindi tinatanong ang sinuman; kung naka-off, kailangan niyang hanapin ang sikreto sa ibang lugar o mabigo.

Kaya ilista ang bawat lugar kung saan maaaring magmula ang sikreto sa sandaling iyon, at maging tapat tungkol sa alin sa mga ito ang umiiral sa host. Ang taong nasa terminal, file na mababasa ng auth-user-pass o askpass, o session token na inisyu ng server ang tatlong mahalaga dito. Kung wala sa mga ito ang available, mabibigo ang muling negosasyon isang oras pagkatapos ng pagbabago, hindi sa sandaling ginawa mo ito.

Tatlong anyo, tatlong punto ng pagpalya

Ang desktop client na may tao sa harap ay ang magaan na kaso: bumabalik ang prompt, may nagta-type muli ng password, at ang halaga ay atensyon. Ang serbisyo, container o router na nagpapatakbo ng OpenVPN na walang terminal ay ang mabigat na kaso, dahil walang sasagot at ang muling pagkonekta na dating tahimik ay tinatapos na ngayon ang tunnel. Ang hybrid ay nasa pagitan ng dalawa at kumikilos tulad ng desktop na kaso hanggang mawala ang session na makakasagot sa prompt. Ang naghihiwalay sa kanila ay hindi kung may naka-install na GUI, kundi kung may pinagmumulan ng kredensyal sa oras ng muling negosasyon.

Itugma ang iyong deployment sa isa sa tatlong anyo bago magbago ng anuman, dahil ang payong makikita online ay halos palaging nakasulat para sa una. Ang paglalapat ng sagot sa desktop sa serbisyong walang terminal ay ang paraan kung paano nagsisimulang bumagsak kada oras ang isang tunnel na gumana nang mga buwan.

Direktiba o flag: pumili ng isa at alamin kung alin ang ginamit mo

Sa loob ng profile, ang auth-nocache ay sariling linya; sa tawag na hayagang nagpangalan ng profile, ito ay flag sa command line na iyon, at ang manwal ng OpenVPN ay naglilista ng dalawang anyo. Pareho silang gumagawa ng parehong bagay sa pagpapanatili ng kredensyal, at wala sa kanila ang humahawak sa uri ng interface o nag-aayos ng walang kaugnayang babala sa parehong log. Ang pagkakaiba ay pagtatagal: saklaw ng flag ang pagtakbo lamang na iyon, kaya ang serbisyong muling sinimulan mula sa unit file o wrapper script ay hindi magkakaroon nito maliban kung ipapasa rin ito ng wrapper.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Magpasya kung aling artefak ang nagmamay-ari ng setting, baguhin ito doon at wala nang iba. Ang profile na na-edit sa laptop at unit ng systemd na nago-override dito gamit ang flag ang pares na gumagawa ng magkasalungat na pag-uugali pagkatapos ng reboot.

Inililipat ng file ng kredensyal ang sikreto sa halip na burahin ito

Ang pagturo ng auth-user-pass sa isang file ay nagbibigay ng pinagmumulan sa bawat susunod na muling negosasyon, at inilalagay din ang password sa lugar na nakakaligtas sa reboot. Itanong kung sino ang makababasa ng file na iyon, kung mababasa pa ito ng daemon pagkatapos nitong bitawan ang mga pribilehiyo, at ano ang mangyayari kapag ang filesystem ay naka-mount na read-only o may itinatagong path ang view ng container. Ang sikreto sa disk at sikreto sa memorya ay magkaibang problema, at ang paglutas sa isa ay iniiwan ang isa sa kinalalagyan nito. Ang rotation ang hakbang na nilalaktawan: ang password na binago sa server pero hindi sa file ay gumagawa ng pagpalya na nababasa na parang sira ng network.

Panatilihin ang file na pag-aari ng account na nagpapatakbo ng daemon, hindi mababasa ng iba, at labas ng mga backup na umaalis sa host. Ang server-side na opsyon ng OpenVPN na auth-gen-token ay nagbibigay sa kliyente ng session token pagkatapos ng matagumpay na login, na mas maliit na bagay na iwanan kaysa sa password ng account. Isulat ang hakbang ng rotation sa tabi ng file kahit ano pa man, dahil ang file ay karaniwang nabubuhay nang mas matagal kaysa sa taong gumawa nito.

Ang pagpahaba ng muling negosasyon ay naglilipat ng halaga, hindi ito tinatanggal

Ang isa pang mungkahi ay itaas ang reneg-sec hanggang sa ang prompt ay maging sapat na bihira para balewalain. Isinulat nito muli ang iskedyul ng rotation ng key ng session at itinutulak ang parehong problema sa kredensyal sa mas huling, hindi mahuhulaang sandali; hindi ito gumagawa ng pinagmumulan ng kredensyal. Ang patakarang nagpapanibago ng key ayon sa iskedyul para sa isang dahilan ay hindi dapat luwagan para lang maiwasan ang pag-type ng password.

Subukan ang muling pagkonekta at hindi ang session na kinauupuan mo, dahil walang pinapatunayan ang buhay na session. Ibagsak ang tunnel mula sa panig ng server, o i-restart ang serbisyo ng kliyente, at panoorin ang susunod na muling negosasyon kapag walang tao sa keyboard. Kung muling kumonekta, pangalanan ang mekanismong nagbigay ng sikreto; kung hindi, natagpuan mo ang tunay na halaga ng opsyon sa host na ito. Anuman ang resulta ay nagbibigay sa iyo ng sagot na tumatagal sa panahon ng outage kaysa sa isang tumagal noong pagsubok.

Sa pinamamahalaang fleet, ang may-ari ng deployment ay dapat makapagpangalan ng tatlong bagay: saan galing ang kredensyal, saan ito nakaimbak, at sino ang nagro-rotate nito. Kung ang alinman sa mga sagot ay ang taong nag-set up ng host, hindi pa ligtas ang opsyon doon.