Uzamčeni kvůli smyčce opakovaných pokusů VPN: nejprve zastavte klienta

Ve 02:40 se účet uzamkne a u klávesnice nikdo není. Klient na poličce neustále předkládá heslo, které si uložil minulý měsíc, brána ho neustále odmítá a počítadlo za uzamčením roste, aniž by u toho byl člověk. To je smyčka opakovaných pokusů, nikoli útok, a musí se zastavit dřív, než lze účet obnovit.

Berte to jako dva problémy v pevném pořadí. Nejprve zastavte odesílatele, potom obnovte přístup, protože opačné pořadí smyčku během několika minut znovu spustí.

Zjistěte, který proces odesílá selhání

Začněte od časových razítek v systému identit a porovnejte je s každým klientem, který účet drží. Spravovaný profil, služba bez dozoru, telefon v šuplíku i záložní notebook se starými údaji se všechny mohou autentizovat jako stejná osoba. Ten, který selhává každých pár sekund, je smyčka, a ten, který selhává jednou denně, je obvykle člověk, který zapomněl. Oba krmí stejné počítadlo, a v tom je past.

Při pohledu rozlišujte odmítnutí od nedostupné brány. Vypršení časového limitu, selhání překladu jmen nebo zavřený port obvykle počítadlo selhání nezvyšují, zatímco dokončená výměna autentizace, která vrátí výsledek špatných údajů, ano. Míchání obojího vede ke špatné opravě, protože jedno vyžaduje zastavit klienta a druhé opravit cestu.

Tři podmínky, které určují reakci

Tři skutečnosti to zužují na jednu odpověď. Za prvé, zda záznam ukazuje výslovné odmítnutí, nebo přenosové selhání. Za druhé, zda je identita sdílená mezi zařízeními nebo službami. Za třetí, zda klienta, který opakuje pokusy, spravujete vy, nebo ho ovládá někdo jiný.

Výslovné odmítnutí od jediného klienta, kterého ovládáte, znamená toho klienta zastavit, odemknout schválenou cestou a provést jedno záměrné přihlášení. Sdílená identita tlačí odpověď k zřizování, nikoli k odemykání, protože smyčka se obnoví ve chvíli, kdy se druhé zařízení znovu připojí. Přenosová selhání ukazují na síťovou vrstvu, kde ochrana účtu vůbec není tématem.

Žádná z těchto větví nezahrnuje oslabení ochrany. Prahy uzamčení a limity rychlosti existují proto, že stejný signál, který vás při výpadku obtěžuje, je signálem, který zpomaluje pokus o hádání hesla.

Zastavte odesílatele, než odemknete

Zastavte jednotku nebo spojení, které se stále autentizuje, a zastavte ho tak, aby to přežilo restart. Pozastavení klienta nestačí, když je jeho služba nastavena na automatické spuštění při startu.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Počkejte několik minut a ověřte, že se počítadlo selhání přestalo hýbat. Ta pauza je důkaz, že jste našli správný zdroj. Pokud selhání pokračují, smyčka přichází odjinud a krok odemknutí by byl zbytečný.

Teprve potom použijte operátorův zdokumentovaný postup odemknutí nebo obnovy a proveďte ho přesně jedním řízeným přihlášením ze zařízení, které si chcete ponechat. Přesné prahy, doby čekání a znění obnovy jsou specifické pro každou službu, tak si je přečtěte, místo abyste hádali číslo.

Odstraňte příčinu, aby se to nevrátilo

Aktualizujte uložené údaje tam, kde jsou vlastněné: v klíčence operačního systému, v profilu klienta nebo v konfiguraci servisního účtu. Smazat je na jednom místě, zatímco jiné si drží kopii, je způsob, jak se smyčka vrátí za týden, obvykle když se notebook, který byl offline, vrátí a přehraje svou uloženou hodnotu.

Dejte automatizaci vlastní identitu. Samostatně zřízený účet s vlastními údaji a vlastními limity zabrání tomu, aby porucha stroje uzamkla člověku e-mail, a udělá poruchu dohledatelnou v záznamech. Přidejte klientovi odstup, aby odmítnuté údaje zastavily opakování místo toho, aby je opakovaly, a nastavte poplach na opakovaná selhání autentizace, aby si další smyčky někdo všiml během minut, a ne ve 02:40.

Když zpráva jde na podporu, ponechte identifikátor účtu, časová razítka a jméno klienta. Hesla a materiály pro obnovu do toho záznamu nikdy nepatří.