VPN yenidən qoşulanda etimad məlumatları niyə yenidən tələb olunur
Yadda saxlanmış parol və təkrar istifadə oluna bilən token fərqli cədvəllər üzrə bitir. Müştəridə heç nəyi dəyişməzdən əvvəl yenidən qoşulmanın hansı materialı tələb etdiyini oxuyun.
Saatlarla işləyən tunel noutbuk oyanan anda parol tələb edir və konfiqurasiyada heç nə dəyişməyib. Dəyişən şey yenidən qoşulmanın təkrar istifadə etməyə çalışdığı etimad məlumatının vəziyyətidir. Buna üç növ material nəzarət edir və onlardan yalnız biri ixtiyari fasilədən sağ çıxır.
Müştərinin hansını tələb etdiyini oxuyun, çünki üçü fərqli saatlarla bitir və fərqli mesajlarla uğursuz olur.
Təkrar istifadə oluna bilən üç növ material
Keşlənmiş parol müştərinin saxladığı sirdir və hesab onu dəyişənə qədər etibarlı qalır. Sessiya tokeni uğurlu girişdən sonra server tərəfindən verilir, öz ömrünü daşıyır və istənilən anda ləğv edilə bilər. TLS sessiya bileti və ya IKE təhlükəsizlik assosiasiyası protokol vəziyyətidir, bərpası ucuzdur və parolunuzdan tamamilə asılı deyil. Hər biri fərqli komponent tərəfindən verilir və hər biri öz şərtləri ilə bitir.
Birinci yenidən başlatmadan sağ çıxır, ikincisi adətən yuxu rejimindən sağ çıxır, üçüncüsü isə şəbəkə dəyişikliyindən heç sağ çıxmaya bilər. Onları qarışdırmaq səhv düzəliş verir, məsələn heç vaxt rədd edilməmiş parolu sıfırlamaq kimi.
Sorğunun özü diaqnozdur. Brauzer pəncərəsi və ya ikinci faktor kodu serverin interaktiv autentifikasiya tələb etdiyini göstərir, sorğusuz səssiz uğursuzluq isə müştərinin soruşulacaq qədər irəli getmədiyini göstərir.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Açar yenilənməsi yenidən autentifikasiya deyil
Açar yenilənməsi açarları əvəz edir, autentifikasiya olunmuş şəxsiyyəti saxlayır — buna görə sağlam tuneldə zaman-zaman səssizcə baş verir. Yenidən autentifikasiya şəxsiyyət yoxlamasının özünü təkrarlayır və sizin lazım olduğunuz hadisə məhz budur. IKEv2 ikisini açıq şəkildə ayırır və qarşı tərəf aralarında nə qədər açar yenilənməsi olubsa da, müəyyən edilmiş intervalda tam yenidən autentifikasiya tələb edə bilər. Logun hansını adlandırdığını oxuyana qədər iki hadisə bayırdan eyni görünür.
OpenVPN öz lüğətində eyni şəkildə davranır: yenidən danışıq intervalı məlumat kanalını təzələyir və autentifikasiya tokeni növbəti bağlantıda tam girişdən qaçmaq üçün müştəriyə geri verilə bilər. Həmin tokenin ömrü var və server onu yenidən qəbul edib-etməyəcəyinə qərar verir.
Beləliklə, səkkiz saatdan sonra yenidən qoşulma uğursuz ola bilər, halbuki səkkiz dəqiqədən sonra yenidən qoşulma uğurlu idi — heç bir tərəfdə konfiqurasiya dəyişikliyi olmadan. Bu, yalnız nahardan sonra görünən sorğunun tam izahıdır.
Müştəri yeni çağırışı tamamlaya bilməyəndə
Brauzer addımı tələb edən siyasət onu göstərməyin yolu olmayan müştəridə uğursuz olacaq. Başsız serverlər, başlatma skriptləri və yalnız parolla autentifikasiya üçün qurulmuş köhnə profillər bu divara çırpılır və uğursuzluq çox vaxt autentifikasiya xətası yerinə ümumi fasilə kimi görünür.
Cihaz və şəbəkə keçidləri də siyasətin qiymətləndirmə pəncərəsinə düşə bilər, buna görə Wi-Fi-dan hotspot-a keçid onsuz da baş verəcək yoxlama ilə üst-üstə düşür. Bu təsadüf səbəb taymer olanda şəbəkəni günahkar göstərir.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
Birinci sətir müştərinin öz logunda yenidən danışıq və autentifikasiya hadisələrini göstərir, ikincisi isə strongSwan qarşı tərəfinin hazırda saxladığı təhlükəsizlik assosiasiyalarını. Vaxt damğalarını sorğunun göründüyü anla müqayisə edin; uyğunluq şəbəkəni deyil, taymeri təsdiqləyir.
Nə bildirməli, nəyi söndürməməli
Əgər əl ilə giriş uğurlu olur, avtomatik təkrar istifadə isə davamlı uğursuz olursa, bunu operatora məhz belə deyin. Bu, komponenti adlandırır: təkrar istifadə yolu, etimad məlumatı deyil. Uğursuzluğun vaxtını, istifadə olunan hesabı və gördüyünüz sorğu növünü əlavə edin.
Yenidən qoşulmanı səssiz etmək üçün ikinci faktoru söndürməyin, sertifikat yoxlamasını atlamayın və ya etimad məlumatlarını skriptə yapışdırmayın. Hər biri siyasətin tətbiq etmək üçün mövcud olduğu yoxlamanı aradan qaldırır və hər biri giriş sorğusunu insidentə çevirir.
Əvəzində dəstəklənən axını istəyin: çağırışı tamamlaya bilən müştəri, iş gününə uyğun token ömrü və ya sorğu göstərə bilməyən maşın üçün təsdiqlənmiş qeyri-interaktiv profil. Bunların hamısı kiminsə təsdiqləyə biləcəyi konfiqurasiya qərarlarıdır, müvəqqəti həll isə deyil.