Заключен от цикъл за повторни опити на VPN: първо спрете клиента

В 02:40 акаунтът се заключва и никой не е до клавиатурата. Клиент на рафт продължава да представя паролата, която е запазил миналия месец, шлюзът продължава да я отхвърля, а броячът зад заключването расте без участието на човек. Това е цикъл от повторни опити, а не атака, и трябва да бъде спрян, преди акаунтът да може да бъде възстановен.

Третирайте го като два проблема в фиксиран ред. Първо спрете изпращача, след това възстановете достъпа, защото обратният ред рестартира цикъла за минути.

Открийте кой процес изпраща неуспехите

Започнете от времевите маркери в системата за идентичност и ги съпоставете с всеки клиент, който държи акаунта. Управляван профил, услуга без надзор, телефон в чекмедже и резервен лаптоп със стари данни могат всички да се удостоверяват като един и същ човек. Този, който се проваля на всеки няколко секунди, е цикълът, а този, който се проваля веднъж на ден, обикновено е човек, който е забравил. И двата хранят един и същ брояч, и това е капанът.

Различавайте отхвърляне от недостъпен шлюз, докато гледате. Изтичане на времето, неуспешно разрешаване на име или затворен порт обикновено не увеличават брояча на неуспехите, докато завършен обмен на удостоверяване, който връща резултат за лоши данни, го увеличава. Смесването на двете дава грешна поправка, защото едното изисква спиране на клиента, а другото поправяне на пътя.

Три условия, които определят отговора

Три факта стесняват това до един отговор. Първо, дали записът показва явно отхвърляне или транспортна повреда. Второ, дали идентичността е споделена между устройства или услуги. Трето, дали клиентът, който повтаря, е такъв, който вие администрирате, или такъв, който контролира някой друг.

Явно отхвърляне от един клиент, който контролирате, означава спрете този клиент, отключете през одобрения маршрут и направете едно съзнателно влизане. Споделената идентичност тласка отговора към предоставяне, а не към отключване, защото цикълът ще се възобнови в момента, в който другото устройство се свърже отново. Транспортните повреди сочат към мрежовия слой, където защитата на акаунта изобщо не е въпросът.

Нито един от тези клони не включва отслабване на защитата. Праговете за заключване и ограниченията на честотата съществуват, защото същият сигнал, който ви дразни по време на прекъсване, е сигналът, който забавя опит за отгатване на парола.

Спрете изпращача, преди да отключите

Спрете единицата или връзката, която продължава да се удостоверява, и я спрете по начин, който оцелява след рестартиране. Паузата на клиента не е достатъчна, когато услугата му е настроена да стартира автоматично при зареждане.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Изчакайте няколко минути и потвърдете, че броячът на неуспехите спира да се движи. Тази пауза е доказателството, че сте намерили правилния източник. Ако неуспехите продължат, цикълът идва от другаде и стъпката по отключване би била пропиляна.

Едва тогава използвайте документирания процес за отключване или възстановяване на оператора и го последвайте с точно едно контролирано влизане от устройството, което възнамерявате да запазите. Точните прагове, периодите на изчакване и формулировките за възстановяване са специфични за услугата, затова ги прочетете, вместо да гадаете число.

Отстранете причината, за да не се върне

Актуализирайте запазените данни там, където се притежават: в ключодържателя на операционната система, в профила на клиента или в конфигурацията на служебния акаунт. Изчистването от едно място, докато друго пази копие, е начинът, по който цикълът се връща след седмица, обикновено когато лаптоп, който е бил офлайн, се върне и възпроизведе кешираната си стойност.

Дайте на автоматизацията собствена идентичност. Отделно предоставен акаунт със собствени данни и собствени лимити не позволява на машинен проблем да заключи човек извън имейла му и прави проблема проследим в журналите. Добавете отстъпване в клиента, така че отхвърлени данни да спират повторните опити, вместо да ги повтарят, и настроите аларма при повтарящи се неуспехи на удостоверяване, така че следващият цикъл да бъде забелязан за минути, а не в 02:40.

Когато докладът отива към поддръжката, запазете идентификатора на акаунта, времевите маркери и името на клиента. Паролите и материалите за възстановяване никога не принадлежат в този запис.