Buite die deur gesluit deur 'n VPN-herprobeerlus: stop eers die kliënt

Om 02:40 sluit die rekening en daar is niemand by die sleutelbord nie. 'n Kliënt op 'n rak hou aan om die wagwoord aan te bied wat dit verlede maand gestoor het, die poort bly dit verwerp, en die teller agter die uitsluiting klim sonder dat 'n mens betrokke is. Dit is 'n herprobeerlus eerder as 'n aanval, en dit moet gestop word voordat die rekening herstel kan word.

Behandel dit as twee probleme in 'n vaste volgorde. Stop eers die sender en herstel dan toegang, want om dit omgekeerd te doen laat die lus binne minute weer begin.

Vind watter proses die mislukkings indien

Begin by die tydmerke in die identiteitstelsel en vergelyk dit met elke kliënt wat die rekening hou. 'n Bestuurde profiel, 'n onbewaakte diens, 'n selfoon in 'n laai en 'n spaar skootrekenaar met ou geloofsbriewe kan almal as dieselfde persoon verifieer. Die een wat elke paar sekondes misluk, is die lus, en die een wat een keer per dag misluk, is gewoonlik 'n mens wat dit vergeet het. Albei voed dieselfde teller, en dit is die lokval.

Onderskei 'n verwerping van 'n onbereikbare poort terwyl jy kyk. 'n Tydverstryking, 'n mislukte naamoplossing of 'n geslote poort verhoog gewoonlik nie die mislukkingteller nie, terwyl 'n voltooide verifiëring wat 'n resultaat van swak geloofsbriewe teruggee, dit wel doen. Om die twee te vermeng lewer die verkeerde oplossing, want die een vereis dat die kliënt gestop word en die ander vereis dat die pad herstel word.

Drie voorwaardes wat die reaksie bepaal

Drie feite vernou dit tot een antwoord. Eerstens, of die rekord 'n uitdruklike verwerping of 'n vervoermislukking toon. Tweedens, of die identiteit oor toestelle of dienste gedeel word. Derdens, of die herprobeerende kliënt een is wat jy bestuur of een wat iemand anders beheer.

'n Uitdruklike verwerping van 'n enkele kliënt wat jy beheer, beteken: stop daardie kliënt, ontsluit via die goedgekeurde roete en maak een doelbewuste aanmelding. 'n Gedeelde identiteit stuur die antwoord na voorsiening eerder as ontsluiting, want die lus sal hervat sodra die ander toestel weer verbind. Vervoermislukkings wys na die netwerklaag, waar rekeningbeskerming glad nie die kwessie is nie.

Nie een van daardie takke behels dat die beskerming verswak word nie. Uitsluitingdrempels en tempolimiete bestaan omdat dieselfde sein wat jou tydens 'n onderbreking irriteer, die sein is wat 'n poging om wagwoorde te raai vertraag.

Stop die sender voordat jy ontsluit

Stop die eenheid of verbinding wat aanhou verifieer, en stop dit op 'n manier wat 'n herlaai oorleef. Om die kliënt te pouseer is nie genoeg wanneer sy diens op outomatiese begin by die selflaai gestel is nie.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Wag 'n paar minute en bevestig dat die mislukkingteller ophou beweeg. Daardie pouse is die bewys dat jy die regte bron gevind het. As die mislukkings voortduur, kom die lus van elders en sou die ontsluitingstap vermors wees.

Gebruik eers dan die operateur se gedokumenteerde ontsluitings- of herstelproses, en volg dit met presies een beheerde aanmelding vanaf die toestel wat jy wil hou. Presiese drempels, afkoelperiodes en die bewoording van herstel is diensspesifiek, so lees dit eerder as om 'n getal te raai.

Verwyder die oorsaak sodat dit nie terugkeer nie

Dateer die gestoorde geloofsbrief op waar dit besit word: die bedryfstelsel se sleutelring, die kliëntprofiel of die diensrekeningkonfigurasie. Om dit op een plek te wis terwyl 'n ander 'n kopie hou, is hoe die lus 'n week later terugkeer, gewoonlik wanneer 'n skootrekenaar wat vanlyn was terugkom en sy gekasde waarde herspeel.

Gee outomatisering sy eie identiteit. 'n Apart voorsiene rekening met sy eie geloofsbrief en sy eie limiete keer dat 'n masjienfout 'n persoon van e-pos uitsluit, en dit maak die fout in die logs toeskryfbaar. Voeg 'n terugtrekking by die kliënt sodat 'n verwerpte geloofsbrief die herproberings stop eerder as om dit te herhaal, en maak alarm op herhaalde verifiëringsmislukkings sodat die volgende lus binne minute opgemerk word eerder as om 02:40.

Wanneer die verslag na ondersteuning gaan, hou die rekeningidentifiseerder, die tydmerke en die kliëntnaam. Wagwoorde en herstelmateriaal hoort nooit in daardie rekord nie.