Таймер сеансу VPN і токен аўтэнтыфікацыі сканчаюцца асобна

Разрыў VPN можа адбыцца з прычын, якія выглядаюць аднолькава з боку кліента і не маюць нічога агульнага ўнутры: сеанс тунеля скончыўся, спрацаваў таймер бяздзейнасці або састарэлі ўліковыя даныя, якія кліент паўторна выкарыстоўваў. Кожная прычына мае свайго ўладальніка і сваё рашэнне. Менавіта паслядоўнасць памылак у момант разрыву адрознівае іх, і звычайна гэта адзін радок.

Супраць аднаго тунеля ідуць тры гадзіннікі, і толькі адзін з іх — гэта сам тунель.

Тры розныя гадзіннікі на адным тунелі

Гадзіннік сеансу належыць шлюзу: максімальная працягласць злучэння, таймаўт бяздзейнасці або абодва, і ён завяршае тунель, калі дасягаецца любое з іх. Гадзіннік токена належыць сістэме аўтэнтыфікацыі і вырашае, як доўга ўліковыя даныя можна зноў падаваць без удзелу чалавека. Гадзіннік шляху належыць таму NAT або брандмаўэру, што стаіць паміж кліентам і шлюзам, і ён завяршае трансляцыі для патокаў, якія лічыць скончанымі. Усе тры даюць раз'яднанне, і ні адзін з іх не дае той жа радок журнала.

Толькі першы — гэта паняцце VPN. Астатнія два запазычаныя з ідэнтычнасці і сетак, і іх звычайна блытаюць з ім.

Як токен насамрэч выкарыстоўваецца паўторна

OpenVPN-серверы могуць выдаваць токен аўтэнтыфікацыі пасля першага ўваходу, таму перазмова кіравальнага канала не патрабуе ад карыстальніка ўліковых даных зноў. Кліент працягвае падаваць гэты токен, а сервер вырашае, колькі ён застаецца прыдатным. Калі тэрмін жыцця токена карацейшы за інтэрвал перазмовы, наступная перазмова не ўдаецца, і кліент паведамляе пра памылку аўтэнтыфікацыі замест таймаўта. Вось чаму той жа профіль працуе гадзіну, а потым зрываецца ў фіксаваным пункце.

Інтэрвал перазмовы — асобны параметр. Яго змена перамяшчае момант падачы токена, а не працягласць яго жыцця.

Як кожнае заканчэнне выглядае з боку кліента

Таймаўт сеансу звычайна прыходзіць як чыстае раз'яднанне з прычынай ад сервера, часта пасля прадказальнай працягласці і без памылкі аўтэнтыфікацыі. Таймаўт бяздзейнасці выглядае як цішыня: тунель перастае перадаваць трафік, потым захоўванне злучэння здаецца. Заканчэнне токена прыходзіць як AUTH_FAILED пасярэдзіне сеансу, які працаваў секунду таму.

Прачытайце радок, потым паглядзіце на гадзіннік. Працягласць, што супадае з наладжаным значэннем, не выпадковасць.

Чаму захаваны пароль не дапамагае

Кэшаваны пароль адказвае на запыт пароля. Ён не падаўжае тэрмін жыцця токена і не задавальняе запыт другога фактара або праверкі стану прылады. Павелічэнне частаты паўтораў, зніжэнне таймаўтаў злучэння або паўторны імпарт профілю нічога не змяняе ў тым, як доўга сістэма ідэнтычнасці будзе прымаць уліковыя даныя.

Трывалыя выпраўленні — гэта правільны тэрмін жыцця на правільным аб'екце або кліенцкі паток, які можа прайсці патрэбны запыт без удзелу чалавека.

Што дакументаваць і тэставаць

Запішыце ўсе тры значэнні: ліміты сеансу і бяздзейнасці шлюза, тэрмін жыцця токена і найкарацейшы адпаведны таймаўт трансляцыі на шляху. Затым свядома праверце кожнае заканчэнне, скараціўшы адно значэнне, назіраючы, што паведамляе кліент, і аднавіўшы яго. Пацвердзіце, што карыстальнік павінен рабіць на кожнай мяжы, бо патрабаваць поўнага ўваходу кожную гадзіну — гэта рашэнне палітыкі, якое нехта павінен быў прыняць свядома.

Разрыў, які прыходзіць наогул без падзеі аўтэнтыфікацыі, належыць шляху або таймеру бяздзейнасці, а гэта іншае расследаванне з іншымі доказамі.