Ausgesperrt durch eine VPN-Wiederholungsschleife: Zuerst den Client stoppen

Um 02:40 wird das Konto gesperrt, und niemand sitzt an der Tastatur. Ein Client im Regal präsentiert weiterhin das Passwort, das er letzten Monat gespeichert hat, das Gateway weist es weiterhin zurück, und der Zähler hinter der Sperre steigt, ohne dass ein Mensch beteiligt ist. Das ist eine Wiederholungsschleife und kein Angriff, und sie muss gestoppt werden, bevor das Konto wiederhergestellt werden kann.

Behandeln Sie es als zwei Probleme in fester Reihenfolge. Stoppen Sie zuerst den Absender, dann stellen Sie den Zugang wieder her, denn andersherum startet die Schleife innerhalb von Minuten erneut.

Finden Sie heraus, welcher Prozess die Fehlschläge sendet

Beginnen Sie bei den Zeitstempeln im Identitätssystem und gleichen Sie sie mit jedem Client ab, der das Konto hält. Ein verwaltetes Profil, ein unbeaufsichtigter Dienst, ein Telefon in einer Schublade und ein Ersatz-Laptop mit alten Zugangsdaten können sich alle als dieselbe Person authentifizieren. Derjenige, der alle paar Sekunden scheitert, ist die Schleife, und derjenige, der einmal am Tag scheitert, ist meist ein Mensch, der es vergessen hat. Beide speisen denselben Zähler, und das ist die Falle.

Unterscheiden Sie beim Hinsehen eine Zurückweisung von einem nicht erreichbaren Gateway. Eine Zeitüberschreitung, ein Namensauflösungsfehler oder ein geschlossener Port erhöhen normalerweise keinen Fehlerzähler, während ein abgeschlossener Authentifizierungsaustausch, der ein Ergebnis für schlechte Zugangsdaten zurückgibt, ihn erhöht. Beides zu vermischen führt zur falschen Lösung, denn das eine erfordert den gestoppten Client und das andere die reparierte Strecke.

Drei Bedingungen, die die Reaktion bestimmen

Drei Tatsachen verengen dies auf eine Antwort. Erstens, ob der Datensatz eine ausdrückliche Zurückweisung oder einen Transportfehler zeigt. Zweitens, ob die Identität über Geräte oder Dienste hinweg geteilt wird. Drittens, ob der wiederholende Client einer ist, den Sie administrieren, oder einer, den jemand anderer kontrolliert.

Eine ausdrückliche Zurückweisung von einem einzelnen Client, den Sie kontrollieren, bedeutet: diesen Client stoppen, über den freigegebenen Weg entsperren und eine bewusste Anmeldung durchführen. Eine geteilte Identität drängt die Antwort in Richtung Bereitstellung statt Entsperrung, denn die Schleife setzt in dem Moment wieder ein, in dem das andere Gerät sich erneut verbindet. Transportfehler deuten auf die Netzwerkschicht, wo Kontoschutz überhaupt nicht das Thema ist.

Keiner dieser Zweige beinhaltet eine Schwächung des Schutzes. Sperrschwellen und Ratenbegrenzungen existieren, weil dasselbe Signal, das Sie während einer Störung ärgert, das Signal ist, das einen Rateversuch auf ein Passwort bremst.

Stoppen Sie den Absender, bevor Sie entsperren

Stoppen Sie die Einheit oder Verbindung, die sich weiter authentifiziert, und stoppen Sie sie so, dass es einen Neustart übersteht. Den Client anzuhalten reicht nicht, wenn sein Dienst auf automatischen Start beim Booten eingestellt ist.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Warten Sie ein paar Minuten und bestätigen Sie, dass der Fehlerzähler aufhört, sich zu bewegen. Diese Pause ist der Beweis, dass Sie die richtige Quelle gefunden haben. Wenn die Fehler weitergehen, kommt die Schleife von woanders, und der Entsperrungsschritt wäre verschwendet.

Nutzen Sie erst dann den dokumentierten Entsperr- oder Wiederherstellungsprozess des Betreibers und folgen Sie ihm mit genau einer kontrollierten Anmeldung von dem Gerät, das Sie behalten wollen. Genaue Schwellen, Abkühlzeiten und Wiederherstellungsformulierungen sind dienstspezifisch, also lesen Sie sie, statt eine Zahl zu raten.

Beseitigen Sie die Ursache, damit sie nicht zurückkehrt

Aktualisieren Sie die gespeicherten Zugangsdaten dort, wo sie besessen werden: im Schlüsselbund des Betriebssystems, im Clientprofil oder in der Konfiguration des Dienstkontos. Sie an einer Stelle zu löschen, während eine andere eine Kopie behält, ist der Weg, auf dem die Schleife eine Woche später zurückkehrt, meist wenn ein Laptop, der offline war, zurückkommt und seinen zwischengespeicherten Wert erneut abspielt.

Geben Sie der Automatisierung ihre eigene Identität. Ein getrennt bereitgestelltes Konto mit eigenem Zugangsdatum und eigenen Grenzen verhindert, dass ein Maschinenfehler eine Person aus der E-Mail aussperrt, und es macht den Fehler in den Protokollen zuordenbar. Fügen Sie dem Client ein Zurückweichen hinzu, damit zurückgewiesene Zugangsdaten die Wiederholungen stoppen statt sie zu wiederholen, und alarmieren Sie bei wiederholten Authentifizierungsfehlern, damit die nächste Schleife in Minuten bemerkt wird und nicht um 02:40.

Wenn der Bericht an den Support geht, behalten Sie die Kontokennung, die Zeitstempel und den Clientnamen. Passwörter und Wiederherstellungsmaterial gehören niemals in diesen Datensatz.