Hvorfor en VPN-genopkobling igen beder om loginoplysninger
En gemt adgangskode og et genbrugeligt token udløber efter forskellige tidsplaner. Læs hvilket materiale genopkoblingen bad om, før du ændrer noget på klienten.
En tunnel, der virkede i timer, beder om en adgangskode i det øjeblik, bærbaren vågner, og intet i konfigurationen er ændret. Det, der er ændret, er tilstanden af den loginoplysning, som genopkoblingen forsøgte at genbruge. Tre slags materiale styrer det, og kun én af dem overlever et vilkårligt hul.
Læs hvilken klienten bad om, for de tre udløber efter forskellige ure og fejler med forskellige meddelelser.
Tre slags genbrugeligt materiale
En cachet adgangskode er en hemmelighed, som klienten holder, og den forbliver gyldig, indtil kontoen ændrer den. Et sessionstoken udstedes af serveren efter et vellykket login, har sin egen levetid og kan tilbagekaldes når som helst. En TLS-sessionsticket eller en IKE-sikkerhedsassociation er protokolltilstand, billig at genoptage og helt uafhængig af din adgangskode. Hver udstedes af en forskellig komponent, og hver udløber på sine egne betingelser.
Den første overlever en genstart, den anden overlever normalt en dvale, og den tredje overlever måske slet ikke et netværksskift. At forveksle dem giver den forkerte løsning, for eksempel at nulstille en adgangskode, der aldrig blev afvist.
Selve opfordringen er diagnosen. Et browservindue eller en andenfaktorkode betyder, at serveren krævede interaktiv godkendelse, mens en stille fejl uden opfordring betyder, at klienten aldrig kom langt nok til at blive spurgt.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Nøglefornyelse er ikke godkendelse igen
En nøglefornyelse udskifter nøgler, mens den godkendte identitet bevares, og derfor sker den stille med mellemrum på en sund tunnel. Godkendelse igen gentager selve identitetskontrollen, og det er den begivenhed, der har brug for dig. IKEv2 adskiller de to eksplicit, og en peer kan kræve fuld godkendelse igen med et konfigureret interval, uanset hvor mange nøglefornyelser der er sket imellem. De to begivenheder ser identiske ud udefra, indtil du læser, hvilken loggen nævner.
OpenVPN opfører sig på samme måde i sit eget ordforråd: et interval for genforhandling opdaterer datakanalen, og et godkendelsestoken kan gives tilbage til klienten for at undgå et fuldt login ved næste forbindelse. Det token har en levetid, og serveren afgør, om det accepteres igen.
Så en genopkobling efter otte timer kan fejle, hvor en genopkobling efter otte minutter lykkedes, uden nogen konfigurationsændring på nogen af siderne. Det er hele forklaringen på en opfordring, der først dukker op efter frokost.
Når klienten ikke kan gennemføre den nye udfordring
En politik, der kræver et browservindue, vil fejle på en klient, der ikke har nogen måde at vise det på. Hovedløse servere, opstartsskripter og ældre profiler bygget til godkendelse med kun adgangskode rammer alle den mur, og fejlen vises ofte som en generisk timeout snarere end en godkendelsesfejl.
Enheds- og netværksskift kan også falde inden for et politikvindue, så en roaming fra Wi-Fi til et hotspot falder sammen med et tjek, der ville være sket alligevel. Sammenfaldet får netværket til at se skyldigt ud, når årsagen er timeren.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
Den første linje viser genforhandlings- og godkendelsesbegivenheder i klientens egen log, og den anden viser de sikkerhedsassociationer, som en strongSwan-peer aktuelt holder. Sammenlign tidsstemplerne med det øjeblik, opfordringen dukkede op; et match bekræfter timeren frem for netværket.
Hvad man skal rapportere, og hvad man ikke skal slå fra
Hvis et manuelt login lykkes, og automatisk genbrug konsekvent fejler, så sig præcis det til operatøren. Det navngiver komponenten: genbrugsvejen, ikke loginoplysningen. Medtag tidspunktet for fejlen, den anvendte konto og den type opfordring, du så.
Deaktiver ikke andenfaktoren, spring ikke certifikatvalidering over, og indsæt ikke loginoplysninger i et skript for at gøre genopkoblingen stille. Hver af dem fjerner det tjek, som politikken findes for at håndhæve, og hver af dem gør en loginopfordring til en hændelse.
Bed i stedet om det understøttede flow: en klient, der kan gennemføre udfordringen, en tokenlevetid, der passer til arbejdsdagen, eller en godkendt ikke-interaktiv profil til maskinen, der ikke kan spørge. Det er alle konfigurationsbeslutninger, som nogen kan godkende, hvilket en arbejdsomgåelse ikke er.