OpenVPN auth-nocache: keyingi kirishda nima bo’ladi

auth-nocache ni yoqing va parol keshlash haqidagi ogohlantirish yo’qoladi, OpenVPN keyingi qayta muzokara uchun saqlagan hisob ma’lumotlari nusxasi bilan birga. Bu so’rov, jim qayta urinish yoki uzilgan tunnelga aylanishi ikkinchi marta hisob ma’lumotlari qayerdan kelishiga bog’liq. Shuning uchun bu variant haqida hukm emas, joylashtirish shakllari o’rtasidagi taqqoslash. Har qanday profilni tahrirlashdan oldin amalda ishlatayotgan shaklni o’qing.

Hisob ma’lumotlarining ikkinchi to’plami qayerdan kelishi kerak

OpenVPN auth-nocache ni auth-user-pass va askpass to’plagan sirlarga qo’llaydi: ishlatilgandan so’ng jarayon ularni keyingi qo’l siqish uchun saqlamay tashlab yuboradi. Qayta muzokara taymer bo’yicha, sukut bo’yicha soatiga bir marta keladi, shuning uchun ikkinchi so’rov parolni yozgan odam ancha oldin ketganidan keyin keladi. O’sha tanaffus butun hikoya. Kesh yoqilgan qolsa, mijoz hech kimdan so’ramasdan saqlangan nusxani qayta ijro etadi; o’chirilgan bo’lsa, sirni boshqa joydan topishi yoki muvaffaqiyatsiz bo’lishi kerak.

Shuning uchun o’sha paytda sir qayerdan kelishi mumkin bo’lgan har bir joyni sanab chiqing va ulardan qaysilari xostda mavjudligi haqida halol bo’ling. Terminal oldida turgan odam, auth-user-pass yoki askpass o’qiy oladigan fayl yoki server bergan sessiya tokeni — bu uchtasi bu yerda muhim. Agar ulardan hech biri mavjud bo’lmasa, qayta muzokara o’zgarishdan bir soat keyin muvaffaqiyatsiz bo’ladi, siz buni qilgan paytda emas.

Uch shakl, uch muvaffaqiyatsizlik nuqtasi

Oldida odam turgan ish stoli mijozi yengil holat: so’rov qaytadi, kimdir parolni yana yozadi va narx diqqat. Terminalsiz OpenVPN ishlatadigan xizmat, konteyner yoki marshrutizator og’ir holat, chunki javob beradigan hech kim yo’q va ilgari jim bo’lgan qayta ulanish endi tunnelni tugatadi. Gibrid ikkalasining o’rtasida turadi va so’rovga javob bera oladigan sessiya yo’qolguncha ish stoli holati kabi harakat qiladi. Ularni ajratadigan narsa GUI o’rnatilganmi emas, balki qayta muzokara paytida hisob ma’lumotlari manbasi bor-yo’qligi.

Biron narsani o’zgartirishdan oldin joylashtirishingizni shu uchtadan biriga moslang, chunki internetda topadigan maslahat deyarli har doim birinchisi uchun yozilgan. Ish stoli javobini terminalsiz xizmatga qo’llash — oylab ishlagan tunnelning har soatda qula boshlashining yo’li.

Direktiva yoki bayroq: bittasini tanlang va qaysi birini ishlatganingizni biling

Profil ichida auth-nocache alohida qator; profilni aniq nomlaydigan chaqiruvda u shu buyruq qatoridagi bayroq, va OpenVPN qo’llanmasi ikkala shaklni sanab o’tadi. Ikkalasi ham hisob ma’lumotlarini saqlashda bir xil ish qiladi va hech biri interfeys turiga tegmaydi yoki shu jurnaldagi aloqasiz ogohlantirishni tuzatmaydi. Farq barqarorlikda: bayroq faqat shu ishga tegishli, shuning uchun unit fayli yoki qobiq skriptidan qayta ishga tushirilgan xizmatda u bo’lmaydi, agar qobiq ham uni uzatmasa.

auth-nocache
openvpn --config /path/client.ovpn --auth-nocache

Qaysi artefakt bu sozlamaga egaligini hal qiling, uni faqat o’sha yerda o’zgartiring. Noutbukda tahrirlangan profil va uni bayroq bilan bekor qiluvchi systemd unit — qayta yuklashdan keyin qarama-qarshi xatti-harakat tug’diradigan juftlik.

Hisob ma’lumotlari fayli sirni o’chirish o’rniga ko’chiradi

auth-user-pass ni faylga yo’naltirish har keyingi qayta muzokaraga manba beradi va parolni qayta yuklashlardan omon qoladigan joyga qo’yadi. O’sha faylni kim o’qiy olishini, demon imtiyozlardan voz kechgandan keyin ham uni o’qiy olishini va fayl tizimi faqat o’qish uchun ulanganda yoki konteyner ko’rinishi yo’lni yashirganda nima bo’lishini so’rang. Diskdagi sir va xotiradagi sir — turli muammolar, va birini hal qilish ikkinchisini joyida qoldiradi. Rotatsiya — o’tkazib yuboriladigan qadam: serverda o’zgartirilgan, lekin faylda o’zgartirilmagan parol tarmoq nosozligi kabi o’qiladigan muvaffaqiyatsizlik tug’diradi.

Faylni demonni ishga tushiruvchi hisob egaligida saqlang, boshqa hech kim o’qiy olmasin va xostdan chiqadigan zaxiralardan tashqarida bo’lsin. OpenVPN ning server tomonidagi auth-gen-token opsiyasi muvaffaqiyatli kirishdan keyin mijozga sessiya tokeni beradi, bu hisob parolidan ko’ra atrofga tashlab qo’yish uchun kichikroq narsa. Baribir rotatsiya qadamini fayl yoniga yozing, chunki fayl odatda uni yaratgan odamdan uzoq yashaydi.

Qayta muzokarani cho’zish xarajatni ko’chiradi, yo’q qilmaydi

Boshqa taklif reneg-sec ni so’rovni e’tiborsiz qoldirish mumkin bo’lguncha oshirish. Bu sessiya kalitlari rotatsiyasi jadvalini qayta yozadi va o’sha hisob ma’lumotlari muammosini kechroq, kamroq bashorat qilinadigan paytga suradi; u hisob ma’lumotlari manbasini yaratmaydi. Kalitlarni biron sababga ko’ra jadval bo’yicha yangilaydigan siyosatni faqat parol yozishdan qochish uchun yumshatmaslik kerak.

Siz o’tirgan sessiyani emas, qayta ulanishni sinab ko’ring, chunki tirik sessiya hech narsani isbotlamaydi. Tunnelni server tomondan yiqiting yoki mijoz xizmatini qayta ishga tushiring va klaviatura oldida hech kim yo’qligida keyingi qayta muzokara nima qilishini kuzating. Agar u qayta ulansa, sirni yetkazib bergan mexanizmni ayting; agar yo’q bo’lsa, bu xostda opsiyaning haqiqiy narxini topdingiz. Har qanday natija sizga sinov paytida turgan javob emas, uzilish paytida turadigan javob beradi.

Boshqariladigan flotda joylashtirish egasi uchta narsani ayta olishi kerak: hisob ma’lumotlari qayerdan keladi, qayerda saqlanadi va kim ularni rotatsiya qiladi. Agar bu javoblardan birortasi xostni sozlagan odam bo’lsa, opsiya u yerda hali xavfsiz emas.