Per què una reconnexió VPN torna a demanar credencials
Una contrasenya desada i un testimoni reutilitzable caduquen segons calendaris diferents. Llegeix quin material ha demanat la reconnexió abans de canviar res al client.
Un túnel que ha funcionat durant hores demana una contrasenya en el moment que l'ordinador portàtil es desperta, i res de la configuració no ha canviat. El que sí que ha canviat és l'estat de la credencial que la reconnexió ha intentat reutilitzar. Tres tipus de material ho governen, i només un d'ells sobreviu a un interval arbitrari.
Llegeix quin ha demanat el client, perquè els tres caduquen amb rellotges diferents i fallen amb missatges diferents.
Tres tipus de material reutilitzable
Una contrasenya en memòria cau és un secret que guarda el client, i es manté vàlid fins que el compte el canvia. Un testimoni de sessió l'emet el servidor després d'un inici de sessió correcte, porta la seva pròpia vida útil i es pot revocar en qualsevol moment. Un tiquet de sessió TLS o una associació de seguretat IKE és estat de protocol, barat de reprendre i completament independent de la teva contrasenya. Cadascun l'emet un component diferent, i cadascun caduca amb les seves pròpies condicions.
El primer sobreviu a un reinici, el segon normalment sobreviu a una suspensió, i el tercer potser no sobreviu gens a un canvi de xarxa. Confondre'ls produeix la solució equivocada, com ara restablir una contrasenya que mai no ha estat rebutjada.
El mateix avís és el diagnòstic. Una finestra de navegador o un codi de segon factor vol dir que el servidor ha exigit autenticació interactiva, mentre que un error silenciós sense cap avís vol dir que el client no ha arribat prou lluny perquè li preguntessin.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Renovar claus no és reautenticar
Una renovació de claus substitueix les claus tot mantenint la identitat autenticada, i per això passa en silenci de tant en tant en un túnel sa. La reautenticació repeteix la comprovació d'identitat mateixa, i aquest és l'esdeveniment que et necessita. IKEv2 separa les dues explícitament, i un parell pot exigir una reautenticació completa en un interval configurat, sense importar quantes renovacions de claus hi hagi hagut entremig. Els dos esdeveniments semblen idèntics des de fora fins que llegeixes quin nomena el registre.
OpenVPN es comporta igual amb el seu propi vocabulari: un interval de renegociació refresca el canal de dades, i un testimoni d'autenticació es pot tornar al client per evitar un inici de sessió complet a la connexió següent. Aquest testimoni té una vida útil, i el servidor decideix si l'accepta una altra vegada.
Així, una reconnexió al cap de vuit hores pot fallar on una reconnexió al cap de vuit minuts va reeixir, sense cap canvi de configuració a cap de les dues bandes. Aquesta és tota l'explicació d'un avís que només apareix després de dinar.
Quan el client no pot completar el repte nou
Una política que exigeix un pas al navegador fallarà en un client que no té manera de mostrar-lo. Servidors sense interfície, scripts d'arrencada i perfils antics fets per a autenticació només amb contrasenya tots topen amb aquesta paret, i el fracàs sovint apareix com un temps d'espera genèric més que com un error d'autenticació.
Les transicions de dispositiu i xarxa també poden caure dins d'una finestra d'avaluació de política, de manera que un canvi de Wi-Fi a un punt d'accés coincideix amb una comprovació que hauria passat igualment. La coincidència fa que la xarxa sembli culpable quan la causa és el temporitzador.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
La primera línia mostra esdeveniments de renegociació i autenticació al registre propi del client, i la segona mostra les associacions de seguretat que un parell strongSwan manté ara mateix. Compara les marques de temps amb el moment en què va aparèixer l'avís; una coincidència confirma el temporitzador i no la xarxa.
Què cal informar i què no cal desactivar
Si un inici de sessió manual funciona i la reutilització automàtica falla de manera consistent, digues-ho exactament a l'operador. Anomena el component: el camí de reutilització, no la credencial. Inclou l'hora del fracàs, el compte en ús i el tipus d'avís que has vist.
No desactivis el segon factor, no saltis la validació del certificat ni enganxis credencials en un script per fer silenciosa la reconnexió. Cadascuna d'aquestes accions elimina la comprovació que la política existeix per fer complir, i cadascuna converteix un avís d'inici de sessió en un incident.
Demana en canvi el flux suportat: un client que pugui completar el repte, una vida útil del testimoni que encaixi amb la jornada laboral, o un perfil no interactiu aprovat per a la màquina que no pot preguntar. Totes són decisions de configuració que algú pot aprovar, cosa que una solució alternativa no és.