Waarom 'n VPN-heraansluiting weer om geloofsbriewe vra
'n Gestorte wagwoord en 'n herbruikbare teken verval volgens verskillende skedules. Lees watter materiaal die heraansluiting aangevra het voordat jy enigiets op die kliënt verander.
'n Tonnel wat ure lank gewerk het, vra 'n wagwoord die oomblik wanneer die skootrekenaar wakker word, en niks in die konfigurasie het verander nie. Wat wel verander het, is die toestand van die geloofsbrief wat die heraansluiting probeer hergebruik het. Drie soorte materiaal bepaal dit, en slegs een daarvan oorleef 'n willekeurige gaping.
Lees watter een die kliënt gevra het, want die drie verval volgens verskillende klokke en misluk met verskillende boodskappe.
Drie soorte herbruikbare materiaal
'n Gekasde wagwoord is 'n geheim wat die kliënt hou, en dit bly geldig totdat die rekening dit verander. 'n Sessieteken word deur die bediener uitgereik ná 'n suksesvolle aanmelding, dra sy eie lewensduur en kan enige oomblik herroep word. 'n TLS-sessiekaartjie of 'n IKE-sekuriteitsassosiasie is protokoltoestand, goedkoop om te hervat en heeltemal onafhanklik van jou wagwoord. Elkeen word deur 'n ander komponent uitgereik, en elkeen verval op sy eie voorwaardes.
Die eerste oorleef 'n herlaai, die tweede oorleef gewoonlik 'n rusperiode, en die derde oorleef dalk glad nie 'n netwerkverandering nie. Om hulle te verwar lei tot die verkeerde oplossing, soos om 'n wagwoord te herstel wat nooit verwerp is nie.
Die versoek self is die diagnose. 'n Blaaiervenster of 'n tweedefaktorkode beteken die bediener het interaktiewe verifikasie geëis, terwyl 'n stil mislukking sonder enige versoek beteken die kliënt het nooit ver genoeg gekom om gevra te word nie.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Om sleutels te hernu is nie herverifikasie nie
Om sleutels te hernu vervang sleutels terwyl die geverifieerde identiteit behou word, en daarom gebeur dit gereeld stilweg op 'n gesonde tonnel. Herverifikasie herhaal die identiteitskontrole self, en dit is die gebeurtenis wat jou nodig het. IKEv2 skei die twee duidelik, en 'n eweknie kan 'n volledige herverifikasie teen 'n ingestelde interval vereis, ongeag hoeveel sleutelhernuwings intussen plaasgevind het. Die twee gebeurtenisse lyk van buite identies totdat jy lees watter een die logboek noem.
OpenVPN werk op dieselfde manier in sy eie woordeskat: 'n heronderhandelingsinterval verfris die datakanaal, en 'n verifikasiesteken kan aan die kliënt teruggegee word om 'n volle aanmelding by die volgende verbinding te vermy. Daardie teken het 'n lewensduur, en die bediener besluit of dit weer aanvaar word.
Dus kan 'n heraansluiting ná agt ure misluk waar 'n heraansluiting ná agt minute geslaag het, sonder enige konfigurasieverandering aan enige kant. Dit is die volledige verklaring vir 'n versoek wat eers ná middagete verskyn.
Wanneer die kliënt die nuwe uitdaging nie kan voltooi nie
'n Beleid wat 'n blaaierstap vereis, sal misluk op 'n kliënt wat geen manier het om een te wys nie. Bedieners sonder skerm, opstartskripte en ou profiele wat vir slegs-wagwoord-verifikasie gebou is, tref almal daardie muur, en die mislukking verskyn dikwels as 'n algemene tydsverloop eerder as 'n verifikasiefout.
Toestel- en netwerkoorgange kan ook binne 'n beleidsevalueringsvenster val, so 'n swerftog van Wi-Fi na 'n hotspot val saam met 'n kontrole wat in elk geval sou plaasvind. Die sameloop laat die netwerk skuldig lyk terwyl die tydhouer die oorsaak is.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
Die eerste reël wys heronderhandelings- en verifikasiegebeurtenisse in die kliënt se eie logboek, en die tweede wys die sekuriteitsassosiasies wat 'n strongSwan-eweknie tans hou. Vergelyk die tydstempels met die oomblik toe die versoek verskyn het; 'n ooreenstemming bevestig die tydhouer eerder as die netwerk.
Wat om te rapporteer, en wat nie af te skakel nie
As 'n handmatige aanmelding slaag en outomatiese hergebruik konsekwent misluk, sê dit presies so aan die operateur. Dit noem die komponent: die hergebruikpad, nie die geloofsbrief nie. Sluit die tyd van die mislukking, die rekening in gebruik en die tipe versoek wat jy gesien het in.
Moenie die tweede faktor deaktiveer, sertifikaatvalidering oorslaan of geloofsbriewe in 'n skrip plak om die heraansluiting stil te maak nie. Elkeen verwyder die kontrole wat die beleid bestaan om af te dwing, en elkeen verander 'n aanmeldversoek in 'n voorval.
Vra eerder vir die ondersteunde vloei: 'n kliënt wat die uitdaging kan voltooi, 'n tekenlewensduur wat by die werksdag pas, of 'n goedgekeurde nie-interaktiewe profiel vir die masjien wat nie kan vra nie. Dit is almal konfigurasiebesluite wat iemand kan goedkeur, wat 'n tydelike oplossing nie is nie.