مؤقت جلسة VPN ورمز المصادقة ينتهيان بشكل منفصل

يمكن أن يحدث انقطاع VPN لأسباب تبدو متطابقة من جهة العميل ولا تشترك في شيء تحتها: انتهت جلسة النفق، أو انطلق مؤقت خمول، أو أصبحت بيانات الاعتماد التي كان العميل يعيد استخدامها قديمة. لكل سبب مالك مختلف وإصلاح مختلف. تسلسل الخطأ لحظة الانقطاع هو ما يفصل بينها، وهو عادة سطر واحد.

ثلاث ساعات تعمل على نفق واحد، وواحدة فقط منها هي النفق.

ثلاث ساعات مختلفة على نفق واحد

ساعة الجلسة تنتمي إلى البوابة: مدة اتصال قصوى، أو مهلة خمول، أو كلتاهما، وهي تنهي النفق عند الوصول إلى أي منهما. ساعة الرمز تنتمي إلى نظام المصادقة، وهي تحدد كم من الوقت يمكن تقديم بيانات الاعتماد مرة أخرى دون إنسان. ساعة المسار تنتمي إلى أي NAT أو جدار ناري يجلس بين العميل والبوابة، وهي تنهي التعيينات للتدفقات التي تعتبرها منتهية. الثلاث جميعا تنتج انقطاعا، ولا واحدة منها تنتج سطر سجل نفسه.

الأولى وحدها مفهوم خاص بشبكات VPN. أما الأخريان فمستعارتان من مجال الهوية والشبكات، وكثيرا ما يخلط بينهما وبينه.

كيف يعاد استخدام الرمز فعليا

تستطيع خوادم OpenVPN إصدار رمز مصادقة بعد تسجيل الدخول الأول، بحيث لا تطلب إعادة تفاوض قناة التحكم من المستخدم بيانات اعتماده مرة أخرى. يواصل العميل تقديم ذلك الرمز، ويقرر الخادم المدة التي يبقى فيها مقبولا. عندما تكون مدة حياة الرمز أقصر من فترة إعادة التفاوض، تفشل إعادة التفاوض التالية ويبلغ العميل عن خطأ مصادقة بدلا من مهلة. لهذا يعمل الملف الشخصي نفسه لمدة ساعة ثم يفشل عند نقطة ثابتة.

فترة إعادة التفاوض إعداد منفصل. تغييرها يغير وقت تقديم الرمز، لا مدة حياته.

كيف يبدو كل انتهاء من جهة العميل

تصل مهلة الجلسة عادة كقطع نظيف مع سبب من جهة الخادم، وغالبا بعد مدة متوقعة ودون أي خطأ مصادقة مصاحب. تبدو مهلة الخمول كصمت: يتوقف النفق عن حمل الحركة، ثم يستسلم الحفاظ على الحياة. يصل انتهاء الرمز على شكل AUTH_FAILED في منتصف جلسة كانت تعمل قبل ثانية.

اقرأ السطر، ثم انظر إلى الساعة. المدة التي تطابق قيمة معدة ليست مصادفة.

لماذا لا تساعد كلمة المرور المحفوظة

كلمة المرور المخزنة مؤقتا تجيب عن تحد لكلمة مرور. إنها لا تطيل عمر الرمز، ولا تستوفي تحديا لعامل ثان أو فحصا لحالة الجهاز. وزيادة تكرار إعادة المحاولة أو تقليل مهل الاتصال أو إعادة استيراد الملف الشخصي لا تغير شيئا في مدة قبول نظام الهوية لبيانات الاعتماد.

الإصلاحات الدائمة هي العمر الصحيح على الكائن الصحيح، أو تدفق عميل يستطيع إكمال التحدي المطلوب دون إنسان.

ما ينبغي توثيقه واختباره

اكتب القيم الثلاث كلها: حدود الجلسة والخمول في البوابة، وعمر الرمز، وأقصر مهلة تعيين ذات صلة على المسار. ثم اختبر كل انتهاء عمدا بتقصير قيمة واحدة، ومراقبة ما يبلغ عنه العميل، ثم استعادتها. أكد ما يجب على المستخدم فعله عند كل حد، لأن طلب تسجيل دخول كامل كل ساعة قرار سياسة كان على أحدهم أن يتخذه عن قصد.

الانقطاع الذي يصل دون أي حدث مصادقة إطلاقا ينتمي إلى المسار أو إلى مؤقت الخمول، وهو تحقيق مختلف بأدلة مختلفة.