VPN yenidən cəhd dövrəsi hesabı bağlayanda: əvvəlcə klienti dayandırın

Saat 02:40-da hesab bağlanır və klaviaturanın arxasında heç kim yoxdur. Rəfdəki bir klient keçən ay saxladığı parolu təqdim etməyə davam edir, şlüz onu rədd etməyə davam edir və bloklamanın arxasındakı sayğac heç bir insan iştirak etmədən artır. Bu, hücum deyil, yenidən cəhd dövrəsidir və hesab bərpa oluna bilməzdən əvvəl dayandırılmalıdır.

Buna sabit ardıcıllıqla iki problem kimi yanaşın. Əvvəlcə göndərəni dayandırın, sonra girişi bərpa edin, çünki əksini etmək dövrəni bir neçə dəqiqə içində yenidən başladır.

Uğursuzluqları hansı prosesin göndərdiyini tapın

Şəxsiyyət sistemindəki zaman nişanlarından başlayın və onları hesabı saxlayan hər klientlə müqayisə edin. İdarə olunan profil, nəzarətsiz xidmət, çekmecədəki telefon və köhnə etimadnamələri olan ehtiyat noutbuk eyni şəxs kimi autentifikasiya edə bilər. Hər bir neçə saniyədə uğursuz olan dövrədir, gündə bir dəfə uğursuz olan isə adətən unutmuş bir insandır. Hər ikisi eyni sayğacı qidalandırır və tələ buradadır.

Baxarkən rəddi əlçatmaz şlüzdən fərqləndirin. Vaxt aşımı, ad həllində uğursuzluq və ya bağlı port adətən uğursuzluq sayğacını artırmır, pis etimadnamə nəticəsi qaytaran tamamlanmış autentifikasiya mübadiləsi isə artırır. İkisini qarışdırmaq yanlış düzəliş yaradır, çünki biri klientin dayandırılmasını, digəri yolun təmirini tələb edir.

Cavabı müəyyən edən üç şərt

Üç fakt bunu tək cavaba daraldır. Birincisi, qeydin açıq rədd yoxsa nəqliyyat uğursuzluğu göstərməsi. İkincisi, şəxsiyyətin cihazlar və ya xidmətlər arasında paylaşılıb-paylaşılmaması. Üçüncüsü, yenidən cəhd edən klientin sizin idarə etdiyiniz, yoxsa başqasının nəzarət etdiyi klient olması.

Nəzarət etdiyiniz tək klientdən gələn açıq rədd o klienti dayandırmaq, təsdiqlənmiş yolla kilidi açmaq və bir məqsədli giriş etmək deməkdir. Paylaşılan şəxsiyyət cavabı kilidin açılmasından çox təminata doğru itələyir, çünki digər cihaz yenidən qoşulan anda dövrə davam edəcək. Nəqliyyat uğursuzluqları şəbəkə qatına işarə edir, burada hesabın müdafiəsi heç də məsələ deyil.

Bu qolların heç biri müdafiənin zəiflədilməsini əhatə etmir. Bloklama hədləri və sürət məhdudiyyətləri ona görə mövcuddur ki, kəsinti zamanı sizi narahat edən siqnal parol təxmin etmə cəhdini ləngidən siqnaldır.

Kilidi açmazdan əvvəl göndərəni dayandırın

Autentifikasiya etməyə davam edən vahidi və ya bağlantını dayandırın və bunu yenidən yükləmədən sonra da davam edən şəkildə edin. Klienti fasiləyə qoymaq kifayət deyil, əgər onun xidməti yükləmə zamanı avtomatik başlamağa qurulubsa.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Bir neçə dəqiqə gözləyin və uğursuzluq sayğacının hərəkəti dayandırdığını təsdiqləyin. Bu fasilə düzgün mənbəni tapdığınızın sübutudur. Uğursuzluqlar davam edərsə, dövrə başqa yerdən gəlir və kilidi açma addımı boşa gedəcək.

Yalnız bundan sonra operatorun sənədləşdirilmiş kilid açma və ya bərpa prosesindən istifadə edin və onu saxlamağı planlaşdırdığınız cihazdan tam bir nəzarətli girişlə izləyin. Dəqiq hədlər, soyuma dövrləri və bərpa ifadələri xidmətə xasdır, ona görə rəqəm təxmin etmək əvəzinə onları oxuyun.

Səbəbi aradan qaldırın ki, geri qayıtmasın

Saxlanmış etimadnaməni sahib olduğu yerdə yeniləyin: əməliyyat sisteminin açar halqası, klient profili və ya xidmət hesabının konfiqurasiyası. Bir yerdən silib digərinin surətini saxlaması dövrənin bir həftə sonra qayıtmasının yoludur, adətən oflayn olan noutbuk geri qayıdıb keşlənmiş dəyərini təkrar oynadanda.

Avtomatlaşdırmaya öz şəxsiyyətini verin. Öz etimadnaməsi və öz limitləri olan ayrıca təmin edilmiş hesab maşın nasazlığının bir insanı e-poçtdan kənarda qoymasının qarşısını alır və nasazlığı jurnallarda izlənə bilən edir. Klientə geri çəkilmə əlavə edin ki, rədd edilmiş etimadnamə təkrarlamaq əvəzinə cəhdləri dayandırsın, və təkrar autentifikasiya uğursuzluqlarına həyəcan qurun ki, növbəti dövrə 02:40-da deyil, dəqiqələr içində görülsün.

Hesabat dəstəyə gedəndə hesab identifikatorunu, zaman nişanlarını və klient adını saxlayın. Parollar və bərpa materialları heç vaxt o qeydə aid deyil.