Mae OpenVPN yn gollwng sesiwn OTP yn ddiweddarach: beth sydd ei angen ar ail-ddilysu

O safbwynt y cleient mae'n edrych fel datgysylltiad ar hap awr i mewn i sesiwn sy'n gweithio. Mae'r eicon yn y hambwrdd yn diflannu, mae'r twnnel yn ailadeiladu, ac mae'r log yn dangos methiant dilysu yn hytrach na gwall rhwydwaith. Yr hyn a ddigwyddodd mewn gwirionedd yw bod y sesiwn wedi ail-negodi ac roedd yr ail ysgydwad llaw angen cymwysterau nad oedd gan y cleient gopi dilys ohonynt mwyach. Ni all cod un-defnydd a weithiodd wrth fewngofnodi weithio eto, felly mae'r ail-allweddiad yn methu yn union fel y'i cynlluniwyd.

Y cywiriad yw penderfyniad ynghylch beth ddylai'r ail ysgydwad llaw ei gyflwyno, nid amserydd ailgynnig hirach.

Dilynwch y gyfnewid o safbwynt y cleient

Wrth fewngofnodi mae'r cleient yn anfon yr enw defnyddiwr, y cyfrinair a chod o'r ddyfais tocyn, ac mae'r gweinydd yn derbyn y cyfuniad. Yna mae'r sesiwn yn rhedeg nes bod sbardun ail-negodi yn tanio, sy'n dechrau ysgydwad llaw TLS newydd y tu mewn i'r twnnel presennol. Mae'r ysgydwad llaw hwnnw'n gofyn am ddilysu eto. Os yw llwybr dilysu'r gweinydd yn disgwyl cyfrinair ynghyd â chod un-defnydd cyfredol, nid oes gan y cleient god newydd i'w gynnig oni bai bod y defnyddiwr yn bresennol i deipio un.

Nid yw'r rhan fwyaf o gleientiaid yn agor anogwr ganol sesiwn, felly mae'r ysgydwad llaw yn amseru allan ac mae'r twnnel yn disgyn. Mae'r defnyddiwr yn gweld ailgysylltiad, nid anogwr dilysu, a dyna pam mae'r adroddiad cyntaf fel arfer yn beio'r rhwydwaith.

Mae auth-gen-token yn newid pwy sy'n ateb yr ail gwestiwn

auth-gen-token yw'r opsiwn sy'n caniatáu i'r gweinydd roi tocyn ar ôl mewngofnodi llwyddiannus, ac mae ail-negodiadau diweddarach yn cyflwyno'r tocyn hwnnw yn lle ailadrodd y cyfrinair a'r cod. Mae'r llawlyfr yn dogfennu ei oes a'i ymddygiad adnewyddu, a rhaid trin y tocyn fel cymhwyster sydd â'i ddyddiad dod i ben ei hun. Yn y llwybr diofyn mae'r gweinydd yn dilysu'r tocyn ei hun yn hytrach na galw'r dilysydd cyfrinair allanol eto.

Gyda chydnawsedd dilysu allanol, mae'r rhaniad hwnnw'n newid. Rhaid i'r ategyn ddeall cyflwr y tocyn a chymhwyso ei wiriadau ei hun, oherwydd nid y gweinydd yw'r unig gydran sy'n penderfynu a yw'r sesiwn yn parhau. Nid yw trin y tocyn fel cod un-defnydd rhifol arall yn weithrediad o'r nodwedd.

Penderfynwch beth sy'n digwydd i statws y cyfrif

Mae tocyn sy'n goroesi mynediad cyfrif yn dwll mewn polisi. Penderfynwch sut mae cyfrif anabl, aelodaeth grŵp a dynnwyd yn ôl neu ddyfais a ddirymwyd yn dod i rym tra bo'r tocyn yn dal yn ddilys. Mae oesau tocyn byr yn gwneud y ffenestr yn llai; mae llwybr dirymu penodol yn ei gwneud yn fwriadol. Ysgrifennwch yr ateb cyn galluogi'r opsiwn, oherwydd nid yw'r llwybr diofyn yn ymgynghori â'r dilysydd allanol ar bob ail-negodi.

Mewn defnydd aml-weinydd, rhaid rhannu'r gyfrinach llofnodi tocynnau neu gall y cleient gael ei anfon i nod na all ddilysu ei docyn.

Profwch ddod i ben ac ailgysylltu, nid mewngofnodi yn unig

Gostyngwch y cyfwng ail-negodi mewn proffil prawf fel bod yr ail ysgydwad llaw yn digwydd tra ydych yn gwylio, yna dilynwch y ddau log. Cadarnhewch fod y tocyn yn cael ei roi wrth fewngofnodi, ei gyflwyno wrth ail-allweddu, a'i adnewyddu neu ei ailosod yn ôl yr oes a ffurfweddwyd. Yna gorfodwch ddod i ben i docyn ac ailgysylltiad llawn, oherwydd gall cleient sy'n ailgysylltu'n lân fethu o hyd ar lwybr ail-allweddu.

Profwch dynnu cyfrif yn olaf. Mae'r achos hwnnw'n dweud wrthych a yw'r polisi a ysgrifennwyd gennych yn cael ei orfodi neu'n cael ei ddogfennu'n unig.

Peidiwch â'i drwsio trwy analluogi adnewyddu

Mae gosod y cyfwng ail-negodi i sero ar y ddwy ochr yn tynnu'r symptom a'r cylchdro allweddau gydag ef. Mae hynny'n cuddio problem ailchwarae cymwysterau y tu ôl i newid polisi na chafodd neb ei adolygu. Cadwch yr adnewyddu, a dewiswch rhwng tocyn a roddir gan y gweinydd a her ryngweithiol newydd yn seiliedig ar a oes defnyddiwr yn bresennol.

Nid yw amserydd ailgynnig hirach yn gwneud cod a wariwyd yn ddilys eto. Dim ond gohirio'r datgysylltiad y mae ac mae'n gwneud y log yn anoddach ei ddarllen.