لماذا يطلب إعادة اتصال VPN بيانات الاعتماد مرة أخرى
تنتهي صلاحية كلمة مرور محفوظة ورمز قابل لإعادة الاستخدام وفق جدولين مختلفين. اقرأ أي مادة طلبها إعادة الاتصال قبل تغيير أي شيء على العميل.
نفق عمل لساعات يطلب كلمة مرور في اللحظة التي يستيقظ فيها الحاسوب المحمول، دون أن يتغير شيء في الإعدادات. ما تغيّر فعلاً هو حالة بيانات الاعتماد التي حاول إعادة الاتصال إعادة استخدامها. ثلاثة أنواع من المواد تحكم ذلك، وواحد منها فقط ينجو من أي فجوة زمنية.
اقرأ أيّها طلب العميل، لأن الثلاثة تنتهي صلاحيتها بساعات مختلفة وتفشل برسائل مختلفة.
ثلاثة أنواع من المواد القابلة لإعادة الاستخدام
كلمة المرور المخزّنة مؤقتاً سرّ يحتفظ به العميل، وتبقى صالحة حتى يغيّرها الحساب. أما الرمز المميز للجلسة فيصدره الخادم بعد تسجيل دخول ناجح، ويحمل عمراً خاصاً به ويمكن إبطاله في أي لحظة. وتذكرة جلسة TLS أو رابطة أمنية IKE هي حالة بروتوكول، رخيصة الاستئناف ومستقلة تماماً عن كلمة مرورك. كل منها يصدره مكوّن مختلف، وكل منها تنتهي صلاحيته بشروطه الخاصة.
النوع الأول ينجو من إعادة التشغيل، والثاني ينجو عادةً من التعليق، والثالث قد لا ينجو أبداً من تغيير الشبكة. الخلط بينها ينتج إصلاحاً خاطئاً، مثل إعادة تعيين كلمة مرور لم تُرفض قط.
المطالبة نفسها هي التشخيص. نافذة متصفح أو رمز عامل ثانٍ يعني أن الخادم طلب مصادقة تفاعلية، أما الفشل الصامت دون أي مطالبة فيعني أن العميل لم يصل إلى حدّ أن يُسأل.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
إعادة توليد المفاتيح ليست إعادة مصادقة
إعادة توليد المفاتيح تستبدل المفاتيح مع الاحتفاظ بالهوية المُصادَق عليها، ولهذا تحدث بصمت كل فترة على نفق سليم. أما إعادة المصادقة فتعيد فحص الهوية نفسها، وذلك هو الحدث الذي يحتاجك. يفصل IKEv2 بين الاثنين صراحةً، ويمكن للطرف النظير أن يطلب إعادة مصادقة كاملة على فترة محددة بصرف النظر عن عدد مرات إعادة توليد المفاتيح بينهما. يبدو الحدثان متطابقين من الخارج حتى تقرأ أيّهما يسمّيه السجل.
OpenVPN يتصرف بالطريقة نفسها بمفرداته الخاصة: فترة إعادة تفاوض تحدّث قناة البيانات، ويمكن إعادة رمز مصادقة إلى العميل لتجنّب تسجيل دخول كامل في الاتصال التالي. لذلك الرمز عمر، والخادم يقرر ما إذا كان سيقبله مرة أخرى.
لذلك يمكن أن يفشل إعادة اتصال بعد ثماني ساعات حيث نجح إعادة اتصال بعد ثماني دقائق، دون أي تغيير في الإعدادات على أي جانب. هذا هو التفسير الكامل لمطالبة تظهر فقط بعد الغداء.
حين يتعذّر على العميل إكمال التحدي الجديد
السياسة التي تتطلب خطوة في المتصفح ستفشل على عميل لا يملك وسيلة لعرضها. الخوادم بلا واجهة، وسكربتات بدء التشغيل، والملفات الشخصية القديمة المبنية لمصادقة كلمة المرور فقط، كلها تصطدم بذلك الجدار، وغالباً يظهر الفشل كمهلة عامة بدلاً من خطأ مصادقة.
يمكن أن تقع أيضاً انتقالات الجهاز والشبكة داخل نافذة تقييم السياسة، فيتزامن التنقل من Wi-Fi إلى نقطة اتصال مع فحص كان سيحدث على أي حال. هذا التزامن يجعل الشبكة تبدو مذنبة بينما المؤقت هو السبب.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
يعرض السطر الأول أحداث إعادة التفاوض والمصادقة في سجل العميل نفسه، ويعرض الثاني ارتباطات الأمان التي يحتفظ بها طرف strongSwan حاليًا. قارن الطوابع الزمنية بلحظة ظهور المطالبة؛ فالتطابق يؤكد المؤقت لا الشبكة.
ما يجب الإبلاغ عنه، وما لا يجب تعطيله
إذا نجح تسجيل دخول يدوي وفشل إعادة الاستخدام التلقائي باستمرار، فقل ذلك بالضبط للمشغّل. فهو يسمّي المكوّن: مسار إعادة الاستخدام، لا بيانات الاعتماد. أدرج وقت الفشل والحساب المستخدم ونوع المطالبة التي رأيتها.
لا تعطّل العامل الثاني، ولا تتخطَّ التحقق من الشهادة، ولا تلصق بيانات الاعتماد في سكربت لجعل إعادة الاتصال صامتة. كل واحد منها يزيل الفحص الذي وُجدت السياسة لفرضه، وكل واحد يحوّل مطالبة تسجيل دخول إلى حادث.
اطلب بدلاً من ذلك التدفق المدعوم: عميلاً يستطيع إكمال التحدي، أو عمر رمز يطابق يوم العمل، أو ملفاً شخصياً غير تفاعلي معتمداً للجهاز الذي لا يستطيع المطالبة. كلها قرارات إعداد يمكن لشخص أن يوافق عليها، وهو ما ليس حلاً بديلاً.