Заблакаваны з-за цыкла паўтораў VPN: спачатку спыніце кліент

У 02:40 уліковы запіс блакуецца, і нікога няма за клавіятурай. Кліент на паліцы працягвае падаваць пароль, які ён захаваў у мінулым месяцы, шлюз працягвае яго адхіляць, а лічыльнік за блакаваннем расце без удзелу чалавека. Гэта цыкл паўтораў, а не атака, і яго трэба спыніць раней, чым уліковы запіс можна будзе аднавіць.

Разглядайце гэта як дзве праблемы ў фіксаваным парадку. Спачатку спыніце адпраўніка, потым аднавіце доступ, бо зваротны парадак зноў запускае цыкл праз некалькі хвілін.

Вызначце, які працэс адпраўляе збоі

Пачніце з адзнак часу ў сістэме ідэнтычнасці і супастаўце іх з кожным кліентам, які трымае ўліковы запіс. Кіраваны профіль, служба без нагляду, тэлефон у шуфлядзе і рэзервовы ноўтбук са старымі ўліковымі данымі — усе яны могуць праходзіць аўтэнтыфікацыю як адзін і той жа чалавек. Той, што памыляецца кожныя некалькі секунд, — гэта цыкл, а той, што памыляецца раз на дзень, звычайна чалавек, які забыўся. Абодва сілкуюць адзін і той жа лічыльнік, і гэта пастка.

Адрознівайце адмову ад недасяжнага шлюза, пакуль глядзіце. Таймаўт, збой развязання імёнаў або закрыты порт звычайна не павялічваюць лічыльнік няўдач, а завяршэнне абмену аўтэнтыфікацыі, якое вяртае вынік дрэнных уліковых даных, павялічвае. Змешванне двух дае няправільнае рашэнне, бо адно патрабуе спыніць кліент, а другое — адрамантаваць шлях.

Тры ўмовы, якія вызначаюць адказ

Тры факты звужваюць гэта да аднаго адказу. Па-першае, ці паказвае запіс відавочную адмову ці збой перадачы. Па-другое, ці агульная ідэнтычнасць паміж прыладамі ці службамі. Па-трэцяе, ці кліент, што паўтарае спробы, ваш падкантрольны ці кантралюецца кімсьці іншым.

Відавочная адмова ад аднаго кліента, які вы кантралюеце, азначае спыніць гэты кліент, разблакаваць праз зацверджаны шлях і зрабіць адзін наўмысны ўваход. Агульная ідэнтычнасць штурхае адказ да забеспячэння, а не да разблакавання, бо цыкл аднавіцца ў імгненне, калі іншая прылада падключыцца зноў. Збоі перадачы паказваюць на сеткавы ўзровень, дзе абарона ўліковага запісу наогул не пры чым.

Ні адна з гэтых галін не прадугледжвае паслаблення абароны. Парогі блакавання і абмежаванні хуткасці існуюць таму, што той самы сігнал, які раздражняе вас падчас збою, — гэта сігнал, які запавольвае спробу падбору пароля.

Спыніце адпраўніка, перш чым разблакаваць

Спыніце той юніт або злучэнне, што працягвае аўтэнтыфікацыю, і спыніце так, каб гэта перажыло перазагрузку. Паўза кліента недастатковая, калі яго служба настроена запускацца аўтаматычна пры загрузцы.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Пачакайце некалькі хвілін і пераканайцеся, што лічыльнік няўдач спыніўся. Гэтая паўза — доказ, што вы знайшлі правільную крыніцу. Калі няўдачы працягваюцца, цыкл ідзе з іншага месца, і крок разблакавання быў бы марным.

Толькі тады выкарыстоўвайце дакументаваны працэс разблакавання або аднаўлення аператара і суправадзіце яго роўна адным кантраляваным уваходам з прылады, якую вы збіраецеся пакінуць. Дакладныя парогі, перыяды чакання і фармулёўкі аднаўлення залежаць ад службы, таму чытайце іх, а не ўгадвайце лічбу.

Прыбярыце прычыну, каб яна не вярнулася

Абнавіце захаваныя ўліковыя даныя там, дзе яны належаць: у звязцы ключоў аперацыйнай сістэмы, у профілі кліента або ў канфігурацыі службовага ўліковага запісу. Ачыстка ў адным месцы, пакуль іншае захоўвае копію, — гэта тое, як цыкл вяртаецца праз тыдзень, звычайна калі ноўтбук, што быў афлайн, вяртаецца і прайгравае сваё кэшаванае значэнне.

Дайце аўтаматызацыі ўласную ідэнтычнасць. Асобны ўліковы запіс з уласнымі ўліковымі данымі і ўласнымі лімітамі не дазваляе збою машыны заблакаваць чалавеку пошту і робіць збой адносным у журналах. Дадайце адступленне ў кліент, каб адхіленыя ўліковыя даныя спынялі паўторы, а не паўтаралі іх, і наладзьце трывогу на паўторныя збоі аўтэнтыфікацыі, каб наступны цыкл заўважылі праз хвіліны, а не ў 02:40.

Калі справаздача ідзе ў падтрымку, захавайце ідэнтыфікатар уліковага запісу, адзнакі часу і імя кліента. Паролі і матэрыялы аднаўлення ніколі не належаць да гэтага запісу.