auth-nocache va hisob ma’lumotlari fayli: yordam beradimi yoki zarar?

OpenVPN ishga tushganda auth-nocache ni taklif qiluvchi ogohlantirish chiqaradi, va vasvasaga soluvchi javob parametrni qo‘shib, satrning yo‘qolishini kuzatishdir. Bu maslahat interaktiv kirishni nazarda tutadi. Foydalanuvchi nomi va parol faylda yashay boshlagach, taqqoslash o‘zgaradi: parametr uzoq muddatli nusxani himoya qilishni to‘xtatadi va imtiyozlardan voz kechuvchi klientda u keyinchalik qayta muzokarani buzishi mumkin. Profilni tahrirlashdan oldin ikki saqlash modelini alohida ushlab turishga arziydi.

Hisob ma’lumotlari so‘roviga javob berishning ikki yo‘li

Birinchi model — terminalda hisob ma’lumotlarini yozayotgan inson yoki ularni sessiya davomida ushlab turuvchi boshqaruv interfeysi. OpenVPN bu nusxani saqlaydi, shunda keyingi qayta muzokaraga qayta so‘ramasdan javob bera oladi, va ogohlantirish aynan shu haqda. Diskda hech narsa ishtirok etmaydi, shuning uchun himoya qilinadigan yagona narsa — qiymatni ushlab turgan jarayon. Klientni yoping, nusxa ham u bilan birga yo‘qoladi.

Ikkinchi model — faylga ishora qiluvchi auth-user-pass , bunda fayl ombor bo‘lib, qiymat kerak bo‘lganda klient uni o‘qiydi. Bu yerda muhim ta’sir jarayon xotirasi emas, balki o‘sha faylning ruxsatlari va egaligi. Ishga tushish ogohlantirishi konfiguratsiyadagi ko‘rsatmalardan keladi, parolni qanday berishingizni tekshirishdan emas, shuning uchun u ikkala modelda ham ko‘rinadi va hech biriga ishora qilmaydi.

Bu taqqoslashning qolgan qismi shu bo‘linishdan kelib chiqadi: bir model uchun xotirani boshqarish, ikkinchisi uchun faylni boshqarish va jarayon identifikatori.

auth-nocache aslida nimani chiqarib tashlaydi

Interaktiv kirishda --auth-nocache foydalanilgandan keyin saqlangan nusxani xotiradan olib tashlaydi. Narx — har bir qayta muzokara oralig‘ida yangi so‘rov, chunki keyingi bosqich chiqarib tashlangan narsani qayta ishlata olmaydi.

Faylga asoslangan kirishda klient faylni qayta o‘qiy oladi, shuning uchun chiqarib tashlash ko‘pincha ko‘rinmaydi. U odamlar kutmaydigan bir joyda ko‘rinadi: daemon imtiyozlardan voz kechgandan keyin, agar hisob ma’lumotlari fayli endi u ishlayotgan hisob uchun o‘qiladigan bo‘lmasa.

Parametrni o‘sha almashinuvni tushunganingiz uchun qo‘shing, ogohlantirish paydo bo‘lgani uchun emas. Jurnalni tinchroq qilish uchun qo‘shilgan parametr — ta’sirini hech kim o‘lchamagan parametr.

Faylga asoslangan yo‘l qayerda sinadi

Tunnel qurilmasini ochish uchun root sifatida ishga tushib, so‘ng user va group ga o‘tuvchi klient hisob ma’lumotlari faylini ikki marta o‘qiydi: bir marta o‘tishdan oldin, bir marta keyingi qayta muzokarada. Agar fayl 600 rejimida bo‘lsa va rootga tegishli bo‘lsa, ikkinchi o‘qish muvaffaqiyatsiz tugaydi va bu nosozlik bir soatdan keyin server muammosiga o‘xshab ko‘rinadigan autentifikatsiya xatosi sifatida namoyon bo‘ladi. Qayta muzokara oralig‘i atrofida klient jurnalini tekshiring, so‘ng hisob va faylni birga tekshiring.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Ikkala satr ham muhim. Birinchisi faylni kim o‘qiy olishini, ikkinchisi ishlab turgan daemon aslida kim ekanini aytadi, va ular orasidagi nomuvofiqlik parolni necha marta qayta yozsangiz ham tuzatilmaydigan nosozlikni tushuntiradi.

Amaliy tuzatishlar hashamatli emas: faylni daemon hisobi o‘qiy oladigan papka va egasiga ko‘chiring, yoki imtiyozli o‘qishni saqlab, klientingiz faqat bir marta o‘qiydiganiga ishonch hosil qiling. Faylni hammaga o‘qiladigan qilib hal qilmang.

Parametrni haqiqatan xohlaydigan holat

Bir martalik kod olib yuruvchi kirish auth-nocache ni boshqa sabab bilan xohlaydi. Bir martalik kod birinchi autentifikatsiyada sarflanadi, shuning uchun keshlangan nusxa keyingi qayta muzokarada foydasiz, va eskirgan qiymat hatto qayta o‘ynatilishi mumkin.

Bu hisob ma’lumotining turi haqidagi savol, qayerda saqlanishi haqida emas. Himoyalangan fayldagi statik parol qarama-qarshi profilga ega: u har bir qayta muzokarada o‘qiladigan bo‘lishi kerak, va sizga kerak bo‘lgan himoya faylning o‘zida.

Bu ikki sababni profil izohlarida alohida saqlang, aks holda keyingi administrator parametr o‘zi tanlagan sabab bilan turibdi deb o‘ylaydi.

Bir qarordagi taqqoslash

Inson hozir bo‘lsa va yangilik muhim bo‘lsa, interaktiv modelni tanlang va takroriy so‘rovni uning narxi deb qabul qiling. Klient nazoratsiz ishlasa, fayl modelini tanlang va kuchni egalik, rejim va imtiyozlardan voz kechishga sarflang.

Hech bir model saqlangan parolni o‘z-o‘zidan xavfsiz qilmaydi va hech biri ishga tushish ogohlantirishini mazmunli qilmaydi.

Agar ogohlantirish profilni ochishingizning yagona sababi bo‘lsa, tushunarsiz parametr o‘rniga qarorni yozib qo‘ying: hisob ma’lumotlari daemon hisobi o‘qiy oladigan fayldan keladi, qayta muzokara muvaffaqiyatli o‘tgani kuzatilgan, va intervalni o‘zgartirishdan oldin OpenVPN 2.6 qo‘llanmasining qayta muzokara bo‘limi o‘qilgan. Bu yozuv har qanday alohida bayroqdan uzoqroq yashaydi.