VPN-sessionstidsstyreren og godkendelsestokenet udløber hver for sig

En VPN-afbrydelse kan ske af grunde, der ser ens ud fra klienten og intet har til fælles under overfladen: tunnelsessionen sluttede, en inaktivitetstimer slog til, eller en legitimering, som klienten genbrugte, blev forældet. Hver grund har sin egen ejer og sin egen rettelse. Netop fejlsekvensen i det øjeblik afbrydelsen sker, er det, der skiller dem, og den er som regel én linje.

Tre ure kører mod én tunnel, og kun ét af dem er tunnelen.

Tre forskellige ure på én tunnel

Sessionsuret tilhører gatewayen: en maksimal forbindelsesvarighed, en inaktivitetstimeout eller begge, og det afslutter tunnelen, når en af dem nås. Tokenuret tilhører godkendelsessystemet og afgør, hvor længe en legitimering kan fremvises igen uden et menneske. Ruteurets ejer er den NAT eller firewall, der sidder mellem klient og gateway, og det lader mappinger udløbe for strømme, som den anser for afsluttede. Alle tre giver en afbrydelse, og ingen af dem giver den samme loglinje.

Kun det første er et VPN-begreb. De to andre er lånt fra identitet og netværk, og de forveksles rutinemæssigt med det.

Sådan genbruges tokenet i virkeligheden

OpenVPN-servere kan udstede et godkendelsestoken efter det første login, så en genforhandling af kontrolkanalen ikke igen beder brugeren om legitimering. Klienten bliver ved med at fremvise tokenet, og serveren afgør, hvor længe det forbliver acceptabelt. Når tokenets levetid er kortere end genforhandlingsintervallet, mislykkes den næste genforhandling, og klienten rapporterer en godkendelsesfejl i stedet for en timeout. Derfor virker den samme profil i en time og fejler derefter på et fast punkt.

Genforhandlingsintervallet er en separat indstilling. At ændre det flytter, hvornår tokenet fremvises, ikke hvor længe det lever.

Sådan ser hver udløb ud fra klienten

En sessionstimeout kommer normalt som en ren afbrydelse med en årsag fra serveren, ofte efter en forudsigelig varighed og uden nogen godkendelsesfejl. En inaktivitetstimeout ligner stilhed: tunnelen holder op med at bære trafik, og så giver keepalive op. Et tokenudløb kommer som AUTH_FAILED midt i en session, der virkede et sekund før.

Læs linjen, og se så på uret. En varighed, der matcher en konfigureret værdi, er ikke et tilfælde.

Hvorfor en gemt adgangskode ikke hjælper

En mellemlagret adgangskode besvarer en udfordring for en adgangskode. Den forlænger ikke et tokens levetid og opfylder ikke en udfordring for en anden faktor eller en kontrol af enhedens tilstand. Hyppigere genforsøg, kortere forbindelsestimeouts eller genimport af profilen ændrer intet ved, hvor længe identitetssystemet vil acceptere legitimeringen.

De holdbare rettelser er den rigtige levetid på det rigtige objekt, eller et klientforløb, der kan gennemføre den krævede udfordring uden et menneske.

Hvad du skal dokumentere og teste

Skriv alle tre værdier ned: gatewayens sessions- og inaktivitetsgrænser, tokenets levetid og den korteste relevante mappingstimeout på ruten. Test derefter hvert udløb bevidst ved at forkorte én værdi, se hvad klienten rapporterer, og gendanne den. Bekræft, hvad brugeren skal gøre ved hver grænse, fordi et krav om fuldt login hver time er en politikbeslutning, som nogen burde have truffet med vilje.

En afbrydelse, der kommer uden nogen godkendelseshændelse overhovedet, hører til ruten eller inaktivitetstimeren, og det er en anden undersøgelse med andre beviser.