Ŝlosita de ripeta buklo de VPN: unue haltigu la klienton

Je la 02:40 la konto ŝlosiĝas kaj neniu estas ĉe la klavaro. Kliento sur breto daŭre prezentas la pasvorton, kiun ĝi konservis pasintmonate, la pordego daŭre rifuzas ĝin, kaj la nombrilo malantaŭ la blokado grimpas sen homa partopreno. Tio estas ripeta buklo, ne atako, kaj ĝi devas esti haltigita antaŭ ol la konto povas esti reakirita.

Traktu ĝin kiel du problemojn en fiksa ordo. Unue haltigu la sendanton, poste restarigu aliron, ĉar la mala ordo restartigas la buklon ene de kelkaj minutoj.

Trovu, kiu procezo sendas la malsukcesojn

Komencu de la tempindikoj en la identeca sistemo kaj komparu ilin kun ĉiu kliento, kiu tenas la konton. Administrata profilo, priservata senĉese servilo, telefono en tirkesto kaj rezerva tekkomputilo kun malnovaj legitimiloj ĉiuj povas aŭtentigi kiel la sama persono. Tiu, kiu malsukcesas ĉiun kelkan sekundon, estas la buklo, kaj tiu, kiu malsukcesas unufoje tage, estas kutime homo, kiu forgesis. Ambaŭ nutras la saman nombrilon, kaj tio estas la kaptilo.

Distingvu rifuzon de neatingebla pordego dum vi rigardas. Tempolimo, malsukceso de nomresolvo aŭ fermita pordo kutime ne pliigas malsukcesan nombrilon, dum kompletigita aŭtentiga interŝanĝo, kiu resendas rezulton pri malbona legitimilo, pliigas ĝin. Miksi la du produktas la malĝustan riparon, ĉar unu postulas haltigitan klienton kaj la alia postulas riparitan vojon.

Tri kondiĉoj, kiuj decidas la respondon

Tri faktoj mallarĝigas tion al unu respondo. Unue, ĉu la rikordo montras eksplicitan rifuzon aŭ transportan malsukceson. Due, ĉu la identeco estas dividita inter aparatoj aŭ servoj. Trie, ĉu la ripetanta kliento estas unu, kiun vi administras, aŭ unu, kiun kontrolas iu alia.

Eksplicita rifuzo de unu kliento, kiun vi kontrolas, signifas haltigi tiun klienton, malŝlosi per la aprobita vojo kaj fari unu intencan ensaluton. Komunigita identeco puŝas la respondon al provizado anstataŭ malŝlosado, ĉar la buklo rekomenciĝos en la momento, kiam la alia aparato rekonektiĝos. Transportaj malsukcesoj montras al la reta tavolo, kie konta protekto tute ne estas la temo.

Neniu el tiuj branĉoj implicas malfortigon de la protekto. Sojloj de blokado kaj limigoj de rapideco ekzistas ĉar la sama signalo, kiu ĝenas vin dum interrompo, estas la signalo, kiu malrapidigas provon diveni pasvorton.

Haltigu la sendanton antaŭ ol malŝlosi

Haltigu la unuon aŭ konekton, kiu daŭre aŭtentiĝas, kaj haltigu ĝin tiel, ke ĝi postvivos restartigon. Paŭzigi la klienton ne sufiĉas, kiam ĝia servo estas agordita starti aŭtomate ĉe la ŝargado.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Atendu kelkajn minutojn kaj konfirmu, ke la malsukcesa nombrilo ĉesas moviĝi. Tiu paŭzo estas la pruvo, ke vi trovis la ĝustan fonton. Se la malsukcesoj daŭras, la buklo venas de aliloke kaj la malŝlosa paŝo estus vana.

Nur tiam uzu la dokumentitan malŝlosan aŭ reakiran procezon de la operatoro, kaj sekvu ĝin per ekzakte unu kontrolita ensaluto de la aparato, kiun vi intencas konservi. Ekzaktaj sojloj, malvarmigaj periodoj kaj la vortumo de la reakiro estas specifaj por ĉiu servo, do legu ilin anstataŭ diveni nombron.

Forigu la kaŭzon, por ke ĝi ne revenu

Ĝisdatigu la konservitan legitimilon tie, kie ĝi estas posedata: en la ŝlosilringo de la operaciumo, en la klienta profilo aŭ en la agordo de la servokonto. Forigi ĝin el unu loko dum alia konservas kopion estas la maniero, kiel la buklo revenas post semajno, kutime kiam tekkomputilo, kiu estis senreta, revenas kaj reludas sian kaŝmemoran valoron.

Donu al aŭtomatigo sian propran identecon. Aparte provizita konto kun propra legitimilo kaj propraj limoj malhelpas, ke maŝina paneo ŝlosu homon for de retpoŝto, kaj ĝi igas la paneon atribuebla en la protokoloj. Aldonu retiriĝon al la kliento por ke rifuzita legitimilo haltigu la ripetojn anstataŭ ripeti ilin, kaj alarmu pri ripetaj aŭtentigaj malsukcesoj por ke la sekva buklo estu rimarkita en minutoj anstataŭ je la 02:40.

Kiam la raporto iras al subteno, konservu la kontan identigilon, la tempindikojn kaj la nomon de la kliento. Pasvortoj kaj reakira materialo neniam apartenas al tiu rikordo.