Чаму паўторнае падключэнне VPN зноў запытвае ўліковыя даныя
Захаваны пароль і шматразовы токен сканчаюцца па розных графіках. Прачытайце, які матэрыял запытала паўторнае падключэнне, перш чым нешта змяняць на кліенце.
Тунэль, які працаваў гадзінамі, запытвае пароль у момант, калі ноўтбук прачынаецца, і нішто ў канфігурацыі не змянілася. Змяніўся стан уліковых даных, якія паўторнае падключэнне спрабавала выкарыстаць паўторна. Гэтым кіруюць тры віды матэрыялу, і толькі адзін з іх перажывае адвольны прамежак.
Прачытайце, які з іх запытаў кліент, бо ўсе тры сканчаюцца па розных гадзінніках і адмаўляюць з рознымі паведамленнямі.
Тры віды матэрыялу, які можна выкарыстоўваць паўторна
Кэшавы пароль — гэта сакрэт, які захоўвае кліент, і ён дзейнічае, пакуль уліковы запіс яго не зменіць. Токен сеансу выдае сервер пасля паспяховага ўваходу; ён мае ўласны тэрмін і можа быць адкліканы ў любы момант. Білет TLS-сеансу або асацыяцыя бяспекі IKE — гэта стан пратаколу, танны для аднаўлення і цалкам незалежны ад вашага паролю. Кожны выдаецца розным кампанентам, і кожны сканчаецца на сваіх умовах.
Першы перажывае перазагрузку, другі звычайна перажывае сон, а трэці можа наогул не перажыць змену сеткі. Блытаніна паміж імі дае няправільнае рашэнне, напрыклад скід паролю, які ніколі не адхіляўся.
Сама запытнасць — гэта дыягностыка. Акно браўзера або код другога фактару азначае, што сервер патрабаваў інтэрактыўную аўтэнтыфікацыю, а ціхі збой без запыту азначае, што кліент не дайшоў да таго, каб яго спыталі.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Пераўтварэнне ключоў — не паўторная аўтэнтыфікацыя
Пераўтварэнне ключоў замяняе ключы, захоўваючы аўтэнтыфікаваную асобу, таму яно ціха адбываецца час ад часу на здаровым тунэлі. Паўторная аўтэнтыфікацыя паўтарае самую праверку асобы, і менавіта гэта патрабуе вашага ўдзелу. IKEv2 яўна раздзяляе гэтыя дзве падзеі, і партнёр можа патрабаваць поўнай паўторнай аўтэнтыфікацыі праз зададзены інтэрвал, незалежна ад колькасці пераўтварэнняў ключоў паміж імі. Звонку абедзве падзеі выглядаюць аднолькава, пакуль не прачытаеш, якую з іх называе журнал.
OpenVPN паводзіць сябе гэтак жа ў сваёй тэрміналогіі: інтэрвал перамовы абнаўляе канал даных, а токен аўтэнтыфікацыі можна вярнуць кліенту, каб пазбегнуць поўнага ўваходу пры наступным злучэнні. Гэты токен мае тэрмін, і сервер вырашае, ці прымаць яго зноў.
Таму паўторнае падключэнне праз восем гадзін можа не ўдацца там, дзе паўторнае падключэнне праз восем хвілін удалося, без зменаў канфігурацыі з любога боку. Гэта поўнае тлумачэнне запыту, які з'яўляецца толькі пасля абеду.
Калі кліент не можа завяршыць новы выклік
Палітыка, якая патрабуе кроку ў браўзеры, не спрацуе на кліенце, які не мае спосабу яго паказаць. Серверы без графічных сродкаў, скрыпты запуску і старыя профілі, створаныя для аўтэнтыфікацыі толькі паролем, усе ўпіраюцца ў гэтую сцяну, і збой часта выглядае як агульны тайм-аўт, а не памылка аўтэнтыфікацыі.
Пераходы паміж прыладамі і сеткамі таксама могуць трапляць у акно ацэнкі палітыкі, таму пераход з Wi-Fi на кропку доступу супадае з праверкай, якая адбылася б у любым выпадку. Гэтае супадзенне робіць сетку вінаватай, калі прычына — таймер.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
Першы радок паказвае падзеі перамовы і аўтэнтыфікацыі ва ўласным журнале кліента, другі — асацыяцыі бяспекі, якія зараз утрымлівае партнёр strongSwan. Параўнайце часовыя пазнакі з момантам з'яўлення запыту; супадзенне пацвярджае таймер, а не сетку.
Што паведамляць, а што не выключаць
Калі ручны ўваход удаецца, а аўтаматычнае паўторнае выкарыстанне пастаянна не ўдаецца, скажыце аператару менавіта так. Гэта называе кампанент: шлях паўторнага выкарыстання, а не ўліковыя даныя. Дадайце час збою, уліковы запіс і тып запыту, які вы бачылі.
Не адключайце другі фактар, не прапускайце праверку сертыфіката і не ўстаўляйце ўліковыя даныя ў скрыпт, каб паўторнае падключэнне праходзіла ціха. Кожнае з гэтага прыбірае праверку, для якой існуе палітыка, і кожнае ператварае запыт уваходу ў інцыдэнт.
Запытайце замест гэтага падтрыманы сцэнар: кліент, які можа завяршыць выклік, тэрмін токена, які адпавядае працоўнаму дню, або зацверджаны неінтэрактыўны профіль для машыны, якая не можа запытаць. Усе гэта рашэнні канфігурацыі, якія нехта можа зацвердзіць, а абыходны шлях — не.