Zaključan zbog petlje ponovnih pokušaja VPN-a: prvo zaustavite klijenta

U 02:40 račun se zaključava i nikoga nema za tastaturom. Klijent na polici stalno predstavlja lozinku koju je sačuvao prošlog mjeseca, mrežni prolaz je stalno odbija, a brojač iza zaključavanja raste bez učešća čovjeka. To je petlja ponovnih pokušaja, a ne napad, i mora se zaustaviti prije nego što se račun može oporaviti.

Tretirajte to kao dva problema u utvrđenom redu. Prvo zaustavite pošiljaoca, zatim vratite pristup, jer obrnuti redoslijed ponovno pokreće petlju u roku od nekoliko minuta.

Utvrdite koji proces šalje neuspjehe

Pođite od vremenskih oznaka u sistemu identiteta i uporedite ih sa svakim klijentom koji drži račun. Upravljani profil, usluga bez nadzora, telefon u ladici i rezervni laptop sa starim akreditivima svi se mogu autentificirati kao ista osoba. Onaj koji pada svakih nekoliko sekundi je petlja, a onaj koji padne jednom dnevno obično je čovjek koji je zaboravio. Oba pune isti brojač, i u tome je zamka.

Razlikujte odbijanje od nedostupnog prolaza dok gledate. Istek vremena, neuspješno razrješavanje imena ili zatvoren port obično ne povećavaju brojač neuspjeha, dok završena razmjena autentifikacije koja vrati rezultat lošeg akreditiva povećava. Miješanje dvoga daje pogrešan popravak, jer jedno traži zaustavljanje klijenta, a drugo popravak puta.

Tri uslova koja određuju odgovor

Tri činjenice sužavaju ovo na jedan odgovor. Prvo, pokazuje li zapis izričito odbijanje ili transportni neuspjeh. Drugo, je li identitet dijeljen među uređajima ili uslugama. Treće, je li klijent koji ponavlja onaj kojim upravljate vi ili onaj koji kontrolira neko drugi.

Izričito odbijanje s jednog klijenta kojim upravljate znači zaustavite taj klijent, otključajte odobrenim putem i napravite jedno namjerno prijavljivanje. Dijeljeni identitet gura odgovor prema provisioniranju, a ne otključavanju, jer će se petlja nastaviti u trenutku kada se drugi uređaj ponovno poveže. Transportni neuspjesi upućuju na mrežni sloj, gdje zaštita računa uopće nije tema.

Nijedna od tih grana ne uključuje slabljenje zaštite. Pragovi zaključavanja i ograničenja brzine postoje zato što je isti signal koji vas iritira tokom ispada signal koji usporava pokušaj pogađanja lozinke.

Zaustavite pošiljaoca prije nego otključate

Zaustavite jedinicu ili vezu koja se stalno autentificira, i zaustavite je tako da preživi ponovno pokretanje. Pauziranje klijenta nije dovoljno kada je njegova usluga postavljena da se automatski pokreće pri podizanju sistema.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Pričekajte nekoliko minuta i potvrdite da se brojač neuspjeha prestao kretati. Ta pauza je dokaz da ste našli pravi izvor. Ako neuspjesi potraju, petlja dolazi odnekud drugdje i korak otključavanja bio bi uzaludan.

Tek tada upotrijebite operaterov dokumentirani postupak otključavanja ili oporavka i provedite ga s točno jednom kontroliranom prijavom s uređaja koji namjeravate zadržati. Točni pragovi, periodi hlađenja i formulacije oporavka specifični su za uslugu, pa ih pročitajte umjesto da pogađate broj.

Uklonite uzrok da se ne vrati

Ažurirajte sačuvani akreditiv tamo gdje se posjeduje: u privjesku ključeva operativnog sistema, u profilu klijenta ili u konfiguraciji servisnog računa. Brisanje na jednom mjestu dok drugo drži kopiju način je na koji se petlja vraća za sedmicu, obično kada se laptop koji je bio izvan mreže vrati i ponovno odigra svoju keširanu vrijednost.

Dajte automatizaciji vlastiti identitet. Odvojeno provisioniran račun s vlastitim akreditivom i vlastitim ograničenjima sprječava da kvar mašine zaključa osobu izvan e-pošte i čini kvar pripisivim u zapisima. Dodajte klijentu odustajanje kako bi odbijeni akreditiv zaustavio ponovne pokušaje umjesto da ih ponavlja, i postavite alarm na ponovljene neuspjehe autentifikacije da se sljedeća petlja primijeti za nekoliko minuta, a ne u 02:40.

Kada izvještaj ide podršci, zadržite identifikator računa, vremenske oznake i ime klijenta. Lozinke i materijali za oporavak nikada ne pripadaju tom zapisu.