Το χρονόμετρο της συνεδρίας VPN και το διακριτικό ταυτοποίησης λήγουν χωριστά

Μια αποσύνδεση VPN μπορεί να συμβεί για λόγους που φαίνονται ίδιοι από την πλευρά του πελάτη και δεν έχουν τίποτα κοινό από κάτω: η συνεδρία της σήραγγας έληξε, ενεργοποιήθηκε ένα χρονόμετρο αδράνειας ή ένα διαπιστευτήριο που ο πελάτης επαναχρησιμοποιούσε έγινε παρωχημένο. Κάθε λόγος έχει διαφορετικό ιδιοκτήτη και διαφορετική διόρθωση. Η αλληλουχία σφαλμάτων τη στιγμή της αποσύνδεσης είναι αυτό που τα ξεχωρίζει, και συνήθως είναι μία γραμμή.

Τρία ρολόγια τρέχουν απέναντι σε μία σήραγγα, και μόνο ένα από αυτά είναι η σήραγγα.

Τρία διαφορετικά ρολόγια σε μία σήραγγα

Το ρολόι της συνεδρίας ανήκει στην πύλη: μέγιστη διάρκεια σύνδεσης, χρονικό όριο αδράνειας ή και τα δύο, και τερματίζει τη σήραγγα όταν επιτευχθεί οποιοδήποτε από αυτά. Το ρολόι του διακριτικού ανήκει στο σύστημα ταυτοποίησης και αποφασίζει πόσο καιρό ένα διαπιστευτήριο μπορεί να παρουσιαστεί ξανά χωρίς άνθρωπο. Το ρολόι της διαδρομής ανήκει σε όποιο NAT ή τείχος προστασίας βρίσκεται ανάμεσα στον πελάτη και στην πύλη, και λήγει τις αντιστοιχίσεις για ροές που θεωρεί ολοκληρωμένες. Και τα τρία προκαλούν αποσύνδεση, και κανένα δεν παράγει την ίδια γραμμή αρχείου καταγραφής.

Μόνο το πρώτο είναι έννοια VPN. Τα άλλα δύο δανείζονται από την ταυτότητα και τα δίκτυα, και συχνά συγχέονται με αυτό.

Πώς επαναχρησιμοποιείται στην πραγματικότητα το διακριτικό

Οι διακομιστές OpenVPN μπορούν να εκδώσουν διακριτικό ταυτοποίησης μετά την αρχική σύνδεση, ώστε μια επαναδιαπραγμάτευση του καναλιού ελέγχου να μη ζητά ξανά από τον χρήστη διαπιστευτήρια. Ο πελάτης συνεχίζει να παρουσιάζει αυτό το διακριτικό και ο διακομιστής αποφασίζει πόσο καιρό παραμένει αποδεκτό. Όταν η διάρκεια ζωής του διακριτικού είναι μικρότερη από το διάστημα επαναδιαπραγμάτευσης, η επόμενη επαναδιαπραγμάτευση αποτυγχάνει και ο πελάτης αναφέρει σφάλμα ταυτοποίησης αντί για λήξη χρόνου. Γι' αυτό το ίδιο προφίλ λειτουργεί για μία ώρα και μετά αποτυγχάνει σε σταθερό σημείο.

Το διάστημα επαναδιαπραγμάτευσης είναι ξεχωριστή ρύθμιση. Η αλλαγή του μετακινεί το πότε παρουσιάζεται το διακριτικό, όχι το πόσο ζει.

Πώς φαίνεται κάθε λήξη από την πλευρά του πελάτη

Ένα χρονικό όριο συνεδρίας φτάνει συνήθως ως καθαρή αποσύνδεση με αιτία από την πλευρά του διακομιστή, συχνά μετά από προβλέψιμη διάρκεια και χωρίς σφάλμα ταυτοποίησης. Ένα χρονικό όριο αδράνειας μοιάζει με σιωπή: η σήραγγα σταματά να μεταφέρει κίνηση και μετά το keepalive παραδίδεται. Μια λήξη διακριτικού φτάνει ως AUTH_FAILED στη μέση μιας συνεδρίας που λειτουργούσε ένα δευτερόλεπτο νωρίτερα.

Διαβάστε τη γραμμή και μετά κοιτάξτε το ρολόι. Μια διάρκεια που ταιριάζει με ρυθμισμένη τιμή δεν είναι σύμπτωση.

Γιατί ένα αποθηκευμένο συνθηματικό δεν βοηθά

Ένα συνθηματικό στην προσωρινή μνήμη απαντά σε πρόκληση για συνθηματικό. Δεν παρατείνει τη διάρκεια ζωής ενός διακριτικού και δεν ικανοποιεί πρόκληση για δεύτερο παράγοντα ή έλεγχο κατάστασης της συσκευής. Η αύξηση της συχνότητας επαναλήψεων, η μείωση των χρονικών ορίων σύνδεσης ή η εκ νέου εισαγωγή του προφίλ δεν αλλάζει τίποτα στο πόσο καιρό το σύστημα ταυτότητας θα δέχεται το διαπιστευτήριο.

Οι διαρκείς διορθώσεις είναι η σωστή διάρκεια ζωής στο σωστό αντικείμενο ή μια ροή πελάτη που μπορεί να ολοκληρώσει την απαιτούμενη πρόκληση χωρίς άνθρωπο.

Τι να τεκμηριώσετε και να δοκιμάσετε

Γράψτε και τις τρεις τιμές: τα όρια συνεδρίας και αδράνειας της πύλης, τη διάρκεια ζωής του διακριτικού και το συντομότερο σχετικό χρονικό όριο αντιστοίχισης στη διαδρομή. Στη συνέχεια δοκιμάστε κάθε λήξη σκόπιμα συντομεύοντας μία τιμή, παρατηρώντας τι αναφέρει ο πελάτης και επαναφέροντάς την. Επιβεβαιώστε τι πρέπει να κάνει ο χρήστης σε κάθε όριο, γιατί το να απαιτείται πλήρης σύνδεση κάθε ώρα είναι απόφαση πολιτικής που κάποιος θα έπρεπε να έχει πάρει σκόπιμα.

Μια αποσύνδεση που φτάνει χωρίς κανένα συμβάν ταυτοποίησης ανήκει στη διαδρομή ή στο χρονόμετρο αδράνειας, και αυτό είναι άλλη έρευνα με άλλα στοιχεία.