Pam mae ailgysylltiad VPN yn gofyn am gymwysterau eto

Mae twnnel a weithiodd am oriau yn gofyn am gyfrinair yr eiliad y mae'r gliniadur yn deffro, ac nid oes dim yn y ffurfweddiad wedi newid. Yr hyn a newidiodd yw cyflwr y cymhwyster y ceisiodd yr ailgysylltiad ei ailddefnyddio. Tri math o ddeunydd sy'n llywodraethu hynny, a dim ond un ohonynt sy'n goroesi bwlch mympwyol.

Darllenwch pa un y gofynnodd y cleient amdano, oherwydd mae'r tri yn dod i ben ar glociau gwahanol ac yn methu â negeseuon gwahanol.

Tri math o ddeunydd y gellir ei ailddefnyddio

Mae cyfrinair wedi'i storio yn gyfrinach a gedwir gan y cleient, ac mae'n aros yn ddilys nes i'r cyfrif ei newid. Mae tocyn sesiwn yn cael ei gyhoeddi gan y gweinydd ar ôl mewngofnodi llwyddiannus, yn cario ei oes ei hun ac yn gallu cael ei ddirymu ar unrhyw funud. Mae tocyn sesiwn TLS neu gysylltiad diogelwch IKE yn gyflwr protocol, yn rhad i'w ailddechrau ac yn hollol annibynnol o'ch cyfrinair. Mae pob un yn cael ei gyhoeddi gan gydran wahanol, ac mae pob un yn dod i ben ar ei thelerau ei hun.

Mae'r cyntaf yn goroesi ailgychwyn, mae'r ail fel arfer yn goroesi ataliad, ac efallai na fydd y trydydd yn goroesi newid rhwydwaith o gwbl. Mae cymysgu rhyngddynt yn cynhyrchu'r atgyweiriad anghywir, megis ailosod cyfrinair na chafodd ei wrthod erioed.

Yr anogwr ei hun yw'r diagnosis. Mae ffenestr porwr neu god ail-ffactor yn golygu bod y gweinydd wedi mynnu dilysiad rhyngweithiol, tra bod methiant distaw heb anogwr yn golygu na chyrhaeddodd y cleient bell digon i gael ei holi.

Nid yw ailosod allweddi yn ailddilysu

Mae ailosod allweddi yn disodli allweddi tra'n cadw'r hunaniaeth ddilysedig, a dyna pam mae'n digwydd yn ddistaw bob hyn a hyn ar dwnnel iach. Mae ailddilysu yn ailadrodd y gwiriad hunaniaeth ei hun, a dyna'r digwyddiad sydd angen chi. Mae IKEv2 yn gwahanu'r ddau yn bendant, a gall cymar fynnu ailddilysu llawn ar gyfnod ffurfweddedig ni waeth faint o ailosodiadau allweddi a fu rhyngddynt. Mae'r ddau ddigwyddiad yn edrych yr un fath o'r tu allan nes i chi ddarllen pa un y mae'r cofnod yn ei enwi.

Mae OpenVPN yn ymddwyn yr un fath yn ei eirfa ei hun: mae cyfnod ail-drafod yn adnewyddu'r sianel ddata, a gellir dychwelyd tocyn dilysu i'r cleient er mwyn osgoi mewngofnodi llawn ar y cysylltiad nesaf. Mae gan y tocyn hwnnw oes, a'r gweinydd sy'n penderfynu a ddylid ei dderbyn eto.

Felly gall ailgysylltiad ar ôl wyth awr fethu lle'r oedd ailgysylltiad ar ôl wyth munud wedi llwyddo, heb unrhyw newid ffurfweddiad ar y naill ochr na'r llall. Dyna'r esboniad cyfan dros anogwr sy'n ymddangos dim ond ar ôl cinio.

Pan na all y cleient gwblhau'r her newydd

Bydd polisi sy'n gofyn am gam porwr yn methu ar gleient nad oes ganddo ffordd i'w ddangos. Mae gweinyddion heb ben, sgriptiau cychwyn a phroffiliau hen ffasiwn a adeiladwyd ar gyfer dilysu cyfrinair yn unig i gyd yn taro'r wal honno, ac mae'r methiant yn aml yn ymddangos fel terfyn amser cyffredinol yn hytrach na gwall dilysu.

Gall trosglwyddiadau dyfais a rhwydwaith hefyd ddisgyn o fewn ffenestr gwerthuso polisi, felly mae crwydro o Wi-Fi i fan cychod yn cyd-daro â gwiriad a fyddai wedi digwydd beth bynnag. Mae'r cyd-ddigwyddiad yn gwneud i'r rhwydwaith edrych yn euog pan mai'r amserydd yw'r achos.

openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth"
ipsec statusall | grep -i -E "rekey|reauth"

Mae'r llinell gyntaf yn dangos digwyddiadau ail-drafod a dilysu yng nghofnod y cleient ei hun, a'r ail yn dangos y cysylltiadau diogelwch y mae cymar strongSwan yn eu dal ar hyn o bryd. Cymharwch yr amsernodau â'r funud yr ymddangosodd yr anogwr; mae cyfatebiaeth yn cadarnhau'r amserydd yn hytrach na'r rhwydwaith.

Beth i'w adrodd, a beth i beidio â'i ddiffodd

Os bydd mewngofnodi â llaw yn llwyddo ac ailddefnydd awtomatig yn methu'n gyson, dywedwch hynny'n union wrth y gweithredydd. Mae'n enwi'r gydran: y llwybr ailddefnydd, nid y cymhwyster. Cynhwyswch amser y methiant, y cyfrif a ddefnyddir a'r math o anogwr a welwyd gennych.

Peidiwch â diffodd yr ail-ffactor, â hepgor dilysu tystysgrif, nac â phastio cymwysterau i sgript er mwyn gwneud yr ailgysylltiad yn ddistaw. Mae pob un yn tynnu'r gwiriad y mae'r polisi yn bodoli i'w orfodi, ac mae pob un yn troi anogwr mewngofnodi yn ddigwyddiad.

Gofynnwch yn lle hynny am y llif a gefnogir: cleient sy'n gallu cwblhau'r her, oes tocyn sy'n cyfateb i'r diwrnod gwaith, neu broffil anrhyngweithiol cymeradwy ar gyfer y peiriant na all anogi. Mae'r rheini i gyd yn benderfyniadau ffurfweddiad y gall rhywun eu cymeradwyo, nad yw datrysiad dros dro yn un.