Γιατί μια επανασύνδεση VPN ζητά ξανά διαπιστευτήρια

Μια σήραγγα που δούλευε για ώρες ζητά κωδικό τη στιγμή που ξυπνά ο φορητός υπολογιστής, και τίποτα στη διαμόρφωση δεν άλλαξε. Αυτό που άλλαξε είναι η κατάσταση του διαπιστευτηρίου που η επανασύνδεση προσπάθησε να επαναχρησιμοποιήσει. Τρία είδη υλικού το διέπουν, και μόνο ένα από αυτά επιβιώνει από ένα αυθαίρετο κενό.

Διαβάστε ποιο ζήτησε ο πελάτης, γιατί τα τρία λήγουν με διαφορετικά ρολόγια και αποτυγχάνουν με διαφορετικά μηνύματα.

Τρία είδη επαναχρησιμοποιήσιμου υλικού

Ένας κωδικός στην προσωρινή μνήμη είναι ένα μυστικό που κρατά ο πελάτης, και παραμένει έγκυρος έως ότου τον αλλάξει ο λογαριασμός. Ένα token συνεδρίας εκδίδεται από τον διακομιστή μετά από επιτυχή σύνδεση, φέρει τη δική του διάρκεια ζωής και μπορεί να ανακληθεί ανά πάσα στιγμή. Ένα εισιτήριο συνεδρίας TLS ή μια σύνδεση ασφαλείας IKE είναι κατάσταση πρωτοκόλλου, φθηνή στη συνέχιση και τελείως ανεξάρτητη από τον κωδικό σας. Κάθε ένα εκδίδεται από διαφορετικό συστατικό, και κάθε ένα λήγει με τους δικούς του όρους.

Το πρώτο επιβιώνει από επανεκκίνηση, το δεύτερο συνήθως επιβιώνει από αναστολή, και το τρίτο μπορεί να μην επιβιώσει καθόλου από αλλαγή δικτύου. Η σύγχυσή τους παράγει τη λάθος διόρθωση, όπως επαναφορά κωδικού που δεν απορρίφθηκε ποτέ.

Η ίδια η προτροπή είναι η διάγνωση. Ένα παράθυρο προγράμματος περιήγησης ή ένας κωδικός δεύτερου παράγοντα σημαίνει ότι ο διακομιστής απαίτησε διαδραστική πιστοποίηση, ενώ μια σιωπηλή αποτυχία χωρίς προτροπή σημαίνει ότι ο πελάτης δεν έφτασε αρκετά μακριά για να ερωτηθεί.

Η ανανέωση κλειδιών δεν είναι εκ νέου πιστοποίηση

Η ανανέωση κλειδιών αντικαθιστά κλειδιά διατηρώντας την πιστοποιημένη ταυτότητα, γι' αυτό συμβαίνει σιωπηλά κατά καιρούς σε μια υγιή σήραγγα. Η εκ νέου πιστοποίηση επαναλαμβάνει τον ίδιο τον έλεγχο ταυτότητας, και αυτό είναι το γεγονός που χρειάζεται εσάς. Το IKEv2 διαχωρίζει ρητά τα δύο, και ένας ομότιμος μπορεί να απαιτήσει πλήρη εκ νέου πιστοποίηση σε καθορισμένο διάστημα ανεξάρτητα από το πόσες ανανεώσεις κλειδιών έγιναν στο μεταξύ. Τα δύο γεγονότα φαίνονται ίδια από έξω μέχρι να διαβάσετε ποιο ονομάζει το αρχείο καταγραφής.

Το OpenVPN συμπεριφέρεται με τον ίδιο τρόπο στο δικό του λεξιλόγιο: ένα διάστημα επαναδιαπραγμάτευσης ανανεώνει το κανάλι δεδομένων, και ένα token πιστοποίησης μπορεί να επιστραφεί στον πελάτη για να αποφευχθεί πλήρης σύνδεση στην επόμενη σύνδεση. Αυτό το token έχει διάρκεια ζωής, και ο διακομιστής αποφασίζει αν θα το δεχτεί ξανά.

Έτσι, μια επανασύνδεση μετά από οκτώ ώρες μπορεί να αποτύχει εκεί όπου μια επανασύνδεση μετά από οκτώ λεπτά πέτυχε, χωρίς καμία αλλαγή διαμόρφωσης σε καμία πλευρά. Αυτή είναι όλη η εξήγηση για μια προτροπή που εμφανίζεται μόνο μετά το μεσημεριανό.

Όταν ο πελάτης δεν μπορεί να ολοκληρώσει τη νέα πρόκληση

Μια πολιτική που απαιτεί βήμα προγράμματος περιήγησης θα αποτύχει σε έναν πελάτη που δεν έχει τρόπο να το δείξει. Διακομιστές χωρίς κεφαλή, σενάρια εκκίνησης και παλιά προφίλ φτιαγμένα για πιστοποίηση μόνο με κωδικό χτυπούν όλα αυτόν τον τοίχο, και η αποτυχία εμφανίζεται συχνά ως γενικό χρονικό όριο παρά ως σφάλμα πιστοποίησης.

Οι μεταβάσεις συσκευών και δικτύου μπορούν επίσης να πέσουν μέσα σε ένα παράθυρο αξιολόγησης πολιτικής, ώστε μια μετακίνηση από Wi-Fi σε hotspot να συμπίπτει με έλεγχο που θα γινόταν ούτως ή άλλως. Η σύμπτωση κάνει το δίκτυο να φαίνεται ένοχο όταν η αιτία είναι το χρονόμετρο.

openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth"
ipsec statusall | grep -i -E "rekey|reauth"

Η πρώτη γραμμή δείχνει γεγονότα επαναδιαπραγμάτευσης και πιστοποίησης στο δικό του αρχείο καταγραφής του πελάτη, και η δεύτερη δείχνει τις συνδέσεις ασφαλείας που κρατά αυτή τη στιγμή ένας ομότιμος strongSwan. Συγκρίνετε τις χρονικές σημάνσεις με τη στιγμή που εμφανίστηκε η προτροπή· μια αντιστοιχία επιβεβαιώνει το χρονόμετρο και όχι το δίκτυο.

Τι να αναφέρετε και τι να μην απενεργοποιήσετε

Αν μια χειροκίνητη σύνδεση πετυχαίνει και η αυτόματη επαναχρησιμοποίηση αποτυγχάνει σταθερά, πείτε το ακριβώς αυτό στον διαχειριστή. Ονομάζει το συστατικό: τη διαδρομή επαναχρησιμοποίησης, όχι το διαπιστευτήριο. Συμπεριλάβετε την ώρα της αποτυχίας, τον λογαριασμό που χρησιμοποιείται και τον τύπο προτροπής που είδατε.

Μην απενεργοποιείτε τον δεύτερο παράγοντα, μην παρακάμπτετε την επικύρωση πιστοποιητικού και μην επικολλάτε διαπιστευτήρια σε σενάριο για να κάνετε την επανασύνδεση σιωπηλή. Κάθε ένα από αυτά αφαιρεί τον έλεγχο που υπάρχει για να επιβάλλει η πολιτική, και κάθε ένα μετατρέπει μια προτροπή σύνδεσης σε περιστατικό.

Ζητήστε αντ' αυτού τη υποστηριζόμενη ροή: έναν πελάτη που μπορεί να ολοκληρώσει την πρόκληση, μια διάρκεια token που ταιριάζει με την εργάσιμη ημέρα, ή ένα εγκεκριμένο μη διαδραστικό προφίλ για το μηχάνημα που δεν μπορεί να ρωτήσει. Όλα αυτά είναι αποφάσεις διαμόρφωσης που κάποιος μπορεί να εγκρίνει, κάτι που μια παράκαμψη δεν είναι.