OpenVPN auth-nocache: bir sonraki girişte ne olur

auth-nocache’i açın; parola önbelleğe alma uyarısı, OpenVPN’in sonraki yeniden müzakere için tuttuğu kimlik bilgilerinin kopyasıyla birlikte kaybolur. Bunun bir istem, sessiz bir yeniden deneme ya da kopmuş bir tünel olması, kimlik bilgilerinin ikinci kez nereden geldiğine bağlıdır. Bu yüzden bu, dağıtım biçimleri arasında bir karşılaştırmadır, seçenek hakkında bir hüküm değil. Herhangi bir profili düzenlemeden önce gerçekten çalıştırdığınız biçimi okuyun.

İkinci kimlik bilgisi kümesi nereden gelmeli

OpenVPN, auth-nocache’i auth-user-pass ve askpass’in topladığı sırlara uygular: kullanıldıktan sonra süreç onları bir sonraki el sıkışma için tutmak yerine atar. Yeniden müzakere bir zamanlayıcıyla, varsayılan olarak saatte bir kez gelir, bu yüzden ikinci istek parolayı yazan kişi çoktan gittikten sonra gelir. O boşluk bütün hikâyedir. Önbellek açık bırakılırsa istemci saklanan kopyayı kimseye sormadan yeniden oynatır; kapalıysa sırrı başka bir yerde bulmak ya da başarısız olmak zorundadır.

Bu yüzden o anda sırrın gelebileceği her yeri listeleyin ve bunlardan hangilerinin ana makinede var olduğu konusunda dürüst olun. Terminalin başındaki bir kişi, auth-user-pass veya askpass’in okuyabildiği bir dosya ya da sunucunun verdiği oturum belirteci burada önemli olan üç şeydir. Hiçbiri yoksa yeniden müzakere değişiklikten bir saat sonra başarısız olur, onu yaptığınız anda değil.

Üç biçim, üç başarısızlık noktası

Önünde bir kişi olan masaüstü istemcisi hafif durumdur: istem geri gelir, biri parolayı yeniden yazar ve bedeli dikkattir. Terminal olmadan OpenVPN çalıştıran hizmet, konteyner ya da yönlendirici ağır durumdur, çünkü cevap verecek kimse yoktur ve eskiden sessiz olan yeniden bağlanma artık tüneli bitirir. Hibrit ikisinin arasında durur ve isteme cevap verebilecek oturum kaybolana kadar masaüstü durumu gibi davranır. Onları ayıran şey GUI kurulu olup olmaması değil, yeniden müzakere anında bir kimlik bilgisi kaynağının bulunup bulunmamasıdır.

Herhangi bir şeyi değiştirmeden önce dağıtımınızı bu üç biçimden birine eşleyin, çünkü çevrimiçi bulduğunuz tavsiye neredeyse her zaman birincisi için yazılmıştır. Masaüstü yanıtını terminalsiz bir hizmete uygulamak, aylarca çalışan bir tünelin her saat düşmeye başlama yoludur.

Yönerge mi bayrak mı: birini seçin ve hangisini kullandığınızı bilin

Bir profil içinde auth-nocache kendi satırıdır; profili açıkça adlandıran bir çağrıda o komut satırındaki bir bayraktır ve OpenVPN kılavuzu her iki biçimi de listeler. İkisi de kimlik bilgilerinin saklanması konusunda aynı şeyi yapar ve hiçbiri arayüz türüne dokunmaz ya da aynı günlükteki ilgisiz bir uyarıyı onarmaz. Fark kalıcılıktadır: bayrak yalnızca o çalıştırmayı kapsar, bu yüzden bir unit dosyasından ya da sarmalayıcı betikten yeniden başlatılan hizmet, sarmalayıcı da onu iletmedikçe bayrağa sahip olmaz.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Ayarın hangi esere ait olduğuna karar verin, onu orada değiştirin ve başka hiçbir yerde değiştirmeyin. Dizüstü bilgisayarda düzenlenmiş bir profil ve onu bayrakla geçersiz kılan bir systemd unit’i, yeniden başlatmadan sonra çelişkili davranış üreten çiftdir.

Kimlik bilgisi dosyası sırrı silmek yerine taşır

auth-user-pass’i bir dosyaya yöneltmek her sonraki yeniden müzakereye bir kaynak verir ve parolayı yeniden başlatmaları atlatan bir yere koyar. O dosyayı kimin okuyabileceğini, arka plan sürecinin ayrıcalıklardan vazgeçtikten sonra onu hâlâ okuyup okuyamayacağını ve dosya sistemi salt okunur bağlandığında ya da bir konteyner görünümü yolu gizlediğinde ne olacağını sorun. Diskteki sır ve bellekteki sır farklı sorunlardır ve birini çözmek diğerini yerinde bırakır. Rotasyon atlanan adımdır: sunucuda değiştirilip dosyada değiştirilmeyen parola, ağ arızası gibi okunan bir başarısızlık üretir.

Dosyayı arka plan sürecini çalıştıran hesabın mülkiyetinde tutun, başka kimse okuyamasın ve ana makineyi terk eden yedeklerin dışında olsun. OpenVPN’in sunucu tarafı auth-gen-token seçeneği başarılı bir girişten sonra istemciye oturum belirteci verir; bu, hesap parolasından daha küçük bir şeyin ortalıkta bırakılmasıdır. Rotasyon adımını her hâlükârda dosyanın yanına yazın, çünkü dosya genellikle onu oluşturan kişiden daha uzun yaşar.

Yeniden müzakeresini uzatmak maliyeti kaydırır, ortadan kaldırmaz

Diğer öneri, istem yok sayılabilecek kadar seyrek olana dek reneg-sec’i yükseltmektir. Bu, oturumun anahtar rotasyon takvimini yeniden yazar ve aynı kimlik bilgisi sorununu daha geç, daha az öngörülebilir bir ana iter; kimlik bilgisi kaynağı yaratmaz. Anahtarları bir nedenle takvime göre yenileyen bir ilke, yalnızca parola yazmaktan kaçınmak için gevşetilmemelidir.

İçinde oturduğunuz oturumu değil, yeniden bağlanmayı test edin, çünkü canlı oturum hiçbir şeyi kanıtlamaz. Tüneli sunucu tarafından düşürün ya da istemci hizmetini yeniden başlatın ve klavyede kimse yokken bir sonraki yeniden müzakere ne yapıyor bakın. Yeniden bağlanırsa sırrı sağlayan mekanizmayı adlandırın; bağlanmazsa bu ana makinede seçeneğin gerçek maliyetini buldunuz. Her iki sonuç da size test sırasında geçerli olanı değil, kesinti sırasında geçerli olan bir yanıt verir.

Yönetilen bir filoda dağıtımın sahibi üç şeyi adlandırabilmelidir: kimlik bilgileri nereden gelir, nerede saklanır ve kim onları rotasyona sokar. Bu yanıtlardan herhangi biri ana makineyi kuran kişiyse, seçenek orada henüz güvenli değil.