Mae'r amserydd sesiwn VPN a'r tocyn dilysu yn dod i ben ar wahân

Gall cwymp VPN ddigwydd am resymau sy'n edrych yn union yr un fath o safbwynt y cleient ac nad oes dim yn gyffredin rhyngddynt o dan yr wyneb: daeth sesiwn y twnnel i ben, taniodd amserydd segur, neu aeth y dilysnod a oedd y cleient yn ei ailddefnyddio yn hen. Mae gan bob un berchnogion gwahanol a thrwsio gwahanol. Dilyniant y gwall ar adeg y cwymp sy'n eu gwahanu, ac fel arfer un llinell yn unig yw hi.

Mae tri chloc yn rhedeg yn erbyn un twnnel, a dim ond un ohonynt yw'r twnnel.

Tri chloc gwahanol ar un twnnel

Mae cloc y sesiwn yn perthyn i'r giât: hyd cysylltiad uchaf, terfyn segur, neu'r ddau, ac mae'n dod â'r twnnel i ben pan gyrhaeddir y naill neu'r llall. Mae cloc y tocyn yn perthyn i'r system ddilysu, ac mae'n penderfynu pa mor hir y gellir cyflwyno dilysnod eto heb ddyn. Mae cloc y llwybr yn perthyn i ba bynnag NAT neu wal dân sydd rhwng y cleient a'r giât, ac mae'n gadael i fapiau ddod i ben ar gyfer ffrydiau y mae'n eu hystyried wedi gorffen. Mae'r tri yn cynhyrchu datgysylltiad, ac nid oes yr un ohonynt yn cynhyrchu'r un llinell mewngofnodi.

Dim ond y cyntaf sy'n gysyniad VPN. Mae'r ddau arall yn fenthyg o fyd hunaniaeth a rhwydweithio, ac maent yn cael eu camgymryd ag ef yn rheolaidd.

Sut mae'r tocyn yn cael ei ailddefnyddio mewn gwirionedd

Gall gweinyddwyr OpenVPN roi tocyn dilysu ar ôl y mewngofnodi cyntaf, fel nad yw ail-drafodaeth sianel reoli yn gofyn i'r defnyddiwr am ddilysnodau eto. Mae'r cleient yn parhau i gyflwyno'r tocyn hwnnw ac mae'r gweinydd yn penderfynu pa mor hir y mae'n parhau'n dderbyniol. Pan fo oes y tocyn yn fyrrach na'r cyfwng ail-drafodaeth, mae'r ail-drafodaeth nesaf yn methu ac mae'r cleient yn adrodd gwall dilysu yn lle terfyn amser. Dyna pam mae'r un proffil yn gweithio am awr ac yna'n methu ar bwynt sefydlog.

Mae'r cyfwng ail-drafodaeth yn osodiad ar wahân. Mae ei newid yn symud pryd y cyflwynir y tocyn, nid pa mor hir y mae'n byw.

Sut mae pob dod-i-ben yn edrych o safbwynt y cleient

Mae terfyn amser sesiwn fel arfer yn dod fel datgysylltiad glân gyda rheswm o ochr y gweinydd, yn aml ar ôl hyd rhagweladwy a heb unrhyw wall dilysu ynghlwm. Mae terfyn amser segur yn edrych fel distawrwydd: mae'r twnnel yn stopio cario traffig, yna mae'r keepalive yn ildio. Mae tocyn wedi dod i ben yn cyrraedd fel AUTH_FAILED yng nghanol sesiwn a oedd yn gweithio eiliad yn gynt.

Darllenwch y llinell, yna edrychwch ar y cloc. Nid yw hyd sy'n cyfateb i werth wedi'i ffurfweddu yn gyd-ddigwyddiad.

Pam nad yw cyfrinair wedi'i arbed yn helpu

Mae cyfrinair wedi'i storio yn ateb her am gyfrinair. Nid yw'n ymestyn oes tocyn, ac nid yw'n bodloni her am ail ffactor na gwiriad o gyflwr y ddyfais. Nid yw codi amlder ailgynnig, gostwng terfynau amser cysylltiad na mewnforio'r proffil eto yn newid dim ar ba mor hir y bydd y system hunaniaeth yn derbyn y dilysnod.

Y trwsiadau parhaus yw'r oes gywir ar y gwrthrych cywir, neu lif cleient a all gwblhau'r her ofynnol heb ddyn.

Beth i'w gofnodi a'i brofi

Ysgrifennwch y tri gwerth: terfynau sesiwn a segur y giât, oes y tocyn, a'r terfyn amser mapio perthnasol byrraf ar y llwybr. Yna profwch bob dod-i-ben yn fwriadol trwy fyrhau un gwerth, gwylio beth mae'r cleient yn ei adrodd, a'i adfer. Cadarnhewch beth sy'n rhaid i'r defnyddiwr ei wneud ar bob ffin, oherwydd mae gofyn am fewngofnodi llawn bob awr yn benderfyniad polisi y dylai rhywun fod wedi'i wneud yn fwriadol.

Mae cwymp sy'n dod heb unrhyw ddigwyddiad dilysu o gwbl yn perthyn i'r llwybr neu i'r amserydd segur, sef ymchwiliad gwahanol gyda thystiolaeth wahanol.