Bloquejat per un bucle de reintents de VPN: atureu primer el client

A les 02:40 el compte es bloqueja i no hi ha ningú davant del teclat. Un client en un prestatge continua presentant la contrasenya que va desar el mes passat, la passarel·la continua rebutjant-la, i el comptador darrere del bloqueig puja sense cap persona implicada. Això és un bucle de reintents i no un atac, i s’ha d’aturar abans que es pugui recuperar el compte.

Tracteu-ho com dos problemes en un ordre fix. Atureu primer l’emissor i després restaureu l’accés, perquè fer-ho a l’inrevés reinicia el bucle en qüestió de minuts.

Determineu quin procés envia les fallades

Comenceu per les marques de temps del sistema d’identitat i compareu-les amb cada client que té el compte. Un perfil gestionat, un servei sense supervisió, un telèfon en un calaix i un portàtil de recanvi amb credencials antigues es poden autenticar tots com la mateixa persona. El que falla cada pocs segons és el bucle, i el que falla un cop al dia sol ser una persona que ho va oblidar. Tots dos alimenten el mateix comptador, i aquesta és la trampa.

Distingiu un rebuig d’una passarel·la inaccessible mentre mireu. Un temps d’espera esgotat, una fallada de resolució de noms o un port tancat normalment no incrementen el comptador de fallades, mentre que un intercanvi d’autenticació complet que retorna un resultat de credencial dolenta sí que ho fa. Barrejar els dos produeix la solució equivocada, perquè un necessita aturar el client i l’altre necessita reparar el camí.

Tres condicions que decideixen la resposta

Tres fets ho redueixen a una resposta. Primer, si el registre mostra un rebuig explícit o una fallada de transport. Segon, si la identitat es comparteix entre dispositius o serveis. Tercer, si el client que reintenta és un que administreu vosaltres o un que controla algú altre.

Un rebuig explícit d’un sol client que controleu vol dir aturar aquest client, desbloquejar per la ruta aprovada i fer un únic inici de sessió deliberat. Una identitat compartida empeny la resposta cap a l’aprovisionament i no cap al desbloqueig, perquè el bucle es reprendrà en el moment que l’altre dispositiu es torni a connectar. Les fallades de transport apunten a la capa de xarxa, on la protecció del compte no hi té res a veure.

Cap d’aquestes branques no implica debilitar la protecció. Els llindars de bloqueig i els límits de freqüència existeixen perquè el mateix senyal que us molesta durant una caiguda és el senyal que frena un intent d’endevinar contrasenyes.

Atureu l’emissor abans de desbloquejar

Atureu la unitat o la connexió que continua autenticant-se, i atureu-la d’una manera que sobrevisqui a un reinici. Posar el client en pausa no n’hi ha prou quan el seu servei està configurat per arrencar automàticament en l’engegada.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Espereu uns quants minuts i confirmeu que el comptador de fallades deixa de moure’s. Aquesta pausa és la prova que heu trobat la font correcta. Si les fallades continuen, el bucle ve d’un altre lloc i el pas de desbloqueig hauria estat inútil.

Només llavors feu servir el procés de desbloqueig o recuperació documentat de l’operador, i seguiu-lo amb exactament un inici de sessió controlat des del dispositiu que voleu conservar. Els llindars exactes, els períodes de refredament i la redacció de la recuperació són específics de cada servei, així que llegiu-los en lloc d’endevinar un número.

Elimineu la causa perquè no torni

Actualitzeu la credencial desada allà on es posseeix: a l’anell de claus del sistema operatiu, al perfil del client o a la configuració del compte de servei. Esborrar-la d’un lloc mentre un altre en guarda una còpia és com torna el bucle una setmana després, normalment quan un portàtil que era fora de línia torna i reprodueix el seu valor en memòria cau.

Doneu a l’automatització una identitat pròpia. Un compte aprovisionat per separat amb la seva pròpia credencial i els seus propis límits evita que una fallada de màquina deixi una persona fora del correu, i fa que la fallada sigui atribuïble als registres. Afegiu una espera progressiva al client perquè una credencial rebutjada aturi els reintents en lloc de repetir-los, i poseu una alarma per a fallades d’autenticació repetides perquè el proper bucle es noti en minuts i no a les 02:40.

Quan l’informe arribi a suport, conserveu l’identificador del compte, les marques de temps i el nom del client. Les contrasenyes i el material de recuperació no han de figurar mai en aquest registre.