مقفل خارج الحساب بسبب حلقة إعادة محاولة VPN: أوقف العميل أولاً

في الساعة 02:40 يُقفل الحساب ولا أحد يجلس أمام لوحة المفاتيح. ثمة عميل على رف يظل يقدّم كلمة المرور التي حفظها الشهر الماضي، والبابة تظل ترفضها، وعدّاد القفل يتصاعد دون أن يشارك أي إنسان. هذه حلقة إعادة محاولة وليست هجومًا، ويجب إيقافها قبل أن يمكن استعادة الحساب.

تعامل معها كمشكلتين بترتيب ثابت. أوقف المُرسِل أولاً، ثم أعد الوصول، لأن فعل العكس يعيد تشغيل الحلقة في غضون دقائق.

حدّد العملية التي ترسل حالات الفشل

ابدأ من الطوابع الزمنية في نظام الهوية وقارنها بكل عميل يحمل الحساب. الملف الشخصي المُدار، والخدمة غير المراقبة، والهاتف في الدرج، والحاسوب المحمول الاحتياطي ببيانات اعتماد قديمة، كلها قادرة على المصادقة باسم الشخص نفسه. الذي يفشل كل بضع ثوانٍ هو الحلقة، والذي يفشل مرة في اليوم هو عادة إنسان نسي. كلاهما يغذّي العدّاد نفسه، وهنا الفخ.

ميّز بين الرفض وتعذّر الوصول إلى البابة أثناء النظر. انتهاء المهلة أو فشل تحليل الاسم أو منفذ مغلق لا يزيد عادة عدّاد الفشل، بينما تبادل مصادقة مكتمل يعيد نتيجة اعتماد سيئ يزيده. خلط الاثنين يُنتج إصلاحًا خاطئًا، لأن أحدهما يحتاج إلى إيقاف العميل والآخر يحتاج إلى إصلاح المسار.

ثلاثة شروط تحدد الاستجابة

ثلاث حقائق تضيّق هذا إلى إجابة واحدة. أولاً، هل يُظهر السجل رفضًا صريحًا أم فشل نقل. ثانيًا، هل الهوية مشتركة بين أجهزة أو خدمات. ثالثًا، هل العميل الذي يعيد المحاولة هو عميل تديره أنت أم عميل يتحكم به شخص آخر.

الرفض الصريح من عميل واحد تديره يعني أوقف ذلك العميل، وافتح القفل عبر المسار المعتمد، ونفّذ تسجيل دخول واحدًا متعمّدًا. الهوية المشتركة تدفع الإجابة نحو التزويد بدلًا من فتح القفل، لأن الحلقة ستستأنف في اللحظة التي يتصل فيها الجهاز الآخر. أما أعطال النقل فتشير إلى طبقة الشبكة، حيث لا تكون حماية الحساب هي المسألة إطلاقًا.

لا يتضمن أي من تلك الفروع إضعاف الحماية. حدود القفل وحدود المعدل موجودة لأن الإشارة نفسها التي تزعجك أثناء انقطاع هي الإشارة التي تُبطئ محاولة تخمين كلمة مرور.

أوقف المُرسِل قبل أن تفتح القفل

أوقف الوحدة أو الاتصال الذي يستمر في المصادقة، وأوقفه بطريقة تصمد أمام إعادة التشغيل. إيقاف العميل مؤقتًا لا يكفي عندما تكون خدمته مضبوطة على البدء تلقائيًا عند الإقلاع.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

انتظر بضع دقائق وتأكد من توقف عدّاد الفشل عن الحركة. تلك الوقفة هي الدليل على أنك وجدت المصدر الصحيح. إذا استمرت الأعطال، فالحلقة تأتي من مكان آخر وستكون خطوة فتح القفل مهدورة.

عندئذٍ فقط استخدم عملية فتح القفل أو الاستعادة الموثّقة عند المشغّل، واتبعها بتسجيل دخول واحد محكوم من الجهاز الذي تنوي الإبقاء عليه. الحدود الدقيقة وفترات التهدئة وصياغة الاستعادة خاصة بكل خدمة، فاقرأها بدلًا من تخمين رقم.

أزل السبب حتى لا يعود

حدّث بيانات الاعتماد المحفوظة حيث تُملَك: حلقة مفاتيح نظام التشغيل، أو ملف تعريف العميل، أو إعداد حساب الخدمة. مسحها من مكان بينما يحتفظ آخر بنسخة هو كيف تعود الحلقة بعد أسبوع، عادةً عندما يعود حاسوب محمول كان غير متصل ويعيد تشغيل قيمته المخزّنة.

امنح الأتمتة هويتها الخاصة. حساب مزوّد بشكل منفصل ببيانات اعتماده وحدوده الخاصة يمنع عطل جهاز من قفل شخص خارج بريده الإلكتروني، ويجعل العطل قابلًا للنسبة في السجلات. أضف تراجعًا إلى العميل حتى تتوقف المحاولات عند اعتماد مرفوض بدلًا من تكرارها، وأنشئ تنبيهًا عند أعطال المصادقة المتكررة حتى تُلاحظ الحلقة التالية في دقائق بدلًا من الساعة 02:40.

عندما يذهب التقرير إلى الدعم، احتفظ بمعرّف الحساب والطوابع الزمنية واسم العميل. كلمات المرور ومواد الاستعادة لا تنتمي أبدًا إلى ذلك السجل.