OpenVPN OTP sessiyasını sonradan kəsir: yenidən autentifikasiya nə tələb edir

Müştəri tərəfindən bu, işləyən sessiyanın bir saatında təsadüfi bağlantı kəsilməsi kimi görünür. Tray ikonası itir, tunel yenidən qurulur və jurnal şəbəkə xətası deyil, autentifikasiya uğursuzluğu göstərir. Əslində baş verən sessiyanın yenidən danışıqlar aparması və ikinci əl sıxışmanın müştərinin artıq etibarlı nüsxəsi olmayan etimadnamələrə ehtiyac duyması idi. Girişdə işləyən birdəfəlik kod yenidən işləyə bilməz, buna görə açar yeniləməsi məhz dizayn edildiyi kimi uğursuz olur.

Həll ikinci əl sıxışmanın nə təqdim etməli olduğuna dair qərardır, daha uzun yenidən cəhd taymeri deyil.

Mübadiləni müştərinin baxış bucağından izləyin

Girişdə müştəri istifadəçi adını, parolu və token cihazından bir kod göndərir və server bu kombinasiyanı qəbul edir. Sonra sessiya yenidən danışıqlar tetikleyicisi işə düşənə qədər davam edir və mövcud tunelin içində yeni TLS əl sıxışması başlayır. Həmin əl sıxışma yenidən autentifikasiya tələb edir. Əgər serverin autentifikasiya yolu parol və cari birdəfəlik kod gözləyirsə, istifadəçi onu yazmaq üçün hazır olmadıqca müştərinin təqdim edəcəyi yeni kodu yoxdur.

Əksər müştərilər sessiya ortasında sorğu pəncərəsi açmır, buna görə əl sıxışma vaxt aşımına uğrayır və tunel düşür. İstifadəçi autentifikasiya sorğusu deyil, yenidən qoşulma görür; ilk hesabatın adətən şəbəkəni günahlandırmasının səbəbi budur.

auth-gen-token ikinci suala kimin cavab verdiyini dəyişir

auth-gen-token seçimi uğurlu girişdən sonra serverə token buraxmağa imkan verir, sonrakı yenidən danışıqlar isə parolu və kodu təkrarlamaq əvəzinə həmin tokeni təqdim edir. Təlimat onun ömrünü və yenilənmə davranışını sənədləşdirir, və token öz son istifadə tarixi olan etimadnamə kimi qəbul edilməlidir. Standart yolda server xarici parol autentifikatorunu yenidən çağırmaq əvəzinə tokeni özü yoxlayır.

Xarici autentifikasiya inteqrasiyası ilə bu bölgü dəyişir. Plugin token vəziyyətini anlamalı və öz yoxlamalarını tətbiq etməlidir, çünki server artıq sessiyanın davam edib-etmədiyinə qərar verən yeganə komponent deyil. Tokenə daha bir rəqəmsal birdəfəlik kod kimi baxmaq funksiyanın tətbiqi deyil.

Hesab statusunun nə olacağına qərar verin

Hesabın girişindən uzun yaşayan token siyasət boşluğudur. Token hələ qüvvədə ikən deaktiv edilmiş hesabın, çıxarılmış qrup üzvlüyünün və ya ləğv edilmiş cihazın necə qüvvəyə mindiyini qərar verin. Qısa token ömürləri pəncərəni kiçildir; açıq ləğv yolu onu qəsdən edir. Cavabı seçimi aktivləşdirməzdən əvvəl yazın, çünki standart yol hər yenidən danışıqda xarici autentifikatora müraciət etmir.

Çoxsunuculu yerləşdirmədə token imzalama sirri paylaşılmalıdır, əks halda müştəri tokenini yoxlaya bilməyən node-a göndərilə bilər.

Yalnız girişi deyil, son istifadə tarixini və yenidən qoşulmanı sınaqdan keçirin

Test profilində yenidən danışıq intervalını azaldın ki, ikinci əl sıxışma siz baxarkən baş versin, sonra hər iki jurnalı izləyin. Tokenin girişdə verildiyini, açar yeniləməsində təqdim edildiyini və konfiqurasiya edilmiş ömürə uyğun yeniləndiyini və ya yenidən buraxıldığını təsdiqləyin. Sonra tokenin son istifadə tarixini və tam yenidən qoşulmanı məcburi edin, çünki təmiz yenidən qoşulan müştəri də açar yeniləmə yolunda uğursuz ola bilər.

Hesabın silinməsini ən sonda sınayın. Bu hal yazdığınız siyasətin tətbiq olunduğunu, yoxsa sadəcə sənədləşdirildiyini göstərir.

Bunu yenilənməni söndürməklə düzəltməyin

Yenidən danışıq intervalını hər iki tərəfdə sıfıra qoymaq simptomu və onunla birlikdə açar rotasiyasını aradan qaldırır. Bu, etimadnamənin təkrar istifadəsi problemini heç kimin nəzərdən keçirmədiyi siyasət dəyişikliyinin arxasında gizlədir. Yenilənməni saxlayın və istifadəçinin iştirakından asılı olaraq server tərəfindən verilən tokenlə yeni interaktiv çağırış arasında seçin.

Daha uzun yenidən cəhd taymeri istifadə edilmiş kodu yenidən qüvvəyə mindirmir. O yalnız bağlantı kəsilməsini gecikdirir və jurnalı oxumağı çətinləşdirir.