Die VPN-sessieteller en die outentikasietoken verval afsonderlik

'n VPN-afbreek kan om redes gebeur wat vir die kliënt identies lyk maar onderling niks gemeen het nie: die tonnelsessie het geëindig, 'n ledige tydhouer het afgegaan, of 'n aanmeldbewys wat die kliënt hergebruik het, het verval. Elkeen het 'n ander eienaar en 'n ander oplossing. Die foutreeks op die oomblik van die afbreek is wat hulle skei, en dit is gewoonlik een lyn.

Drie horlosies loop teen een tonnel, en net een van hulle is die tonnel.

Drie verskillende horlosies op een tonnel

Die sessiehorlosie behoort aan die poort: 'n maksimum verbindingsduur, 'n ledige tydhouer of albei, en dit beëindig die tonnel wanneer een van hulle bereik word. Die tokenhorlosie behoort aan die stelsel vir outentikasie, en dit bepaal hoe lank 'n bewys weer aangebied kan word sonder 'n mens. Die padhorlosie behoort aan watter NAT of vuurmuur ook al tussen kliënt en poort sit, en dit laat die karterings verval vir strome wat hy as afgehandel beskou. Al drie veroorsaak 'n ontkoppeling, en nie een van hulle produseer dieselfde loglyn nie.

Net die eerste is 'n VPN-konsep. Die ander twee kom uit identiteit en netwerk, en hulle word gereeld daarmee verwar.

Hoe die token werklik hergebruik word

OpenVPN-bedieners kan ná die eerste aanmelding 'n outentikasietoken uitreik, sodat 'n heronderhandeling van die beheerkanaal nie weer om die gebruiker se aanmeldgegewens vra nie. Die kliënt hou aan om daardie token aan te bied, en die bediener besluit hoe lank dit aanvaarbaar bly. Wanneer die token se lewensduur korter is as die heronderhandelingsinterval, misluk die volgende heronderhandeling, en die kliënt rapporteer 'n outentikasiefout eerder as 'n tydsverloop. Daarom werk dieselfde profiel 'n uur lank en misluk dit dan op 'n vaste punt.

Die heronderhandelingsinterval is 'n aparte instelling. Om dit te verander skuif wanneer die token aangebied word, nie hoe lank dit leef nie.

Hoe elke verval vanaf die kliënt lyk

'n Sessie-tydsverloop kom gewoonlik as 'n skoon ontkoppeling met 'n bedienerrede, dikwels ná 'n voorspelbare duur en sonder enige outentikasiefout. 'n Ledige tydsverloop lyk soos stilte: die tonnel hou op om verkeer te dra, dan gee die lewendhou die stryd gewonne. 'n Tokenverval kom as AUTH_FAILED in die middel van 'n sessie wat 'n sekonde vantevore gewerk het.

Lees die lyn, kyk dan na die horlosie. 'n Duur wat by 'n ingestelde waarde pas, is nie 'n toeval nie.

Waarom 'n gestoorde wagwoord nie help nie

'n Gekaste wagwoord beantwoord 'n uitdaging vir 'n wagwoord. Dit verleng nie 'n token se lewensduur nie, en dit bevredig nie 'n uitdaging vir 'n tweede faktor of 'n toestandstoets van die toestel nie. Om weerpogings vinniger te maak, verbindingstydsverlope te verkort of die profiel weer in te voer, verander niks aan hoe lank die identiteitstelsel die bewys sal aanvaar nie.

Die blywende oplossings is die regte lewensduur op die regte objek, of 'n kliëntvloei wat die vereiste uitdaging sonder 'n mens kan voltooi.

Wat om te dokumenteer en te toets

Skryf al drie waardes neer: die poort se sessie- en ledige limiete, die token se lewensduur, en die kortste relevante karteringstydsverloop op die pad. Toets dan elke verval doelbewus deur een waarde te verkort, te kyk wat die kliënt rapporteer, en dit te herstel. Bevestig wat die gebruiker by elke grens moet doen, want om elke uur 'n volle aanmelding te vereis, is 'n beleidsbesluit wat iemand doelbewus moes neem.

'n Afbreek wat sonder enige outentikasiegebeurtenis kom, hoort by die pad of die ledige tydhouer, wat 'n ander ondersoek met ander bewyse is.