La VPN-sesia tempigilo kaj la aŭtentiga ĵetono finiĝas aparte
Limigo de porda sesio, senaktiva tempigilo kaj reuzebla aŭtentiga ĵetono finiĝas laŭ malsamaj reguloj. La erarlinio ĉe la interrompo diras al vi, kiu el ili estis.
VPN-interrompo povas okazi pro kaŭzoj, kiuj aspektas identaj de la klienta flanko kaj havas nenion komunan sube: la tunela sesio finiĝis, senaktiva tempigilo ekfunkciis, aŭ atestilo, kiun la kliento reuzis, eksvalidiĝis. Ĉiu havas alian posedanton kaj alian riparon. Ĝuste la erara sekvenco en la momento de la interrompo ilin apartigas, kaj ĝi estas kutime unu linio.
Tri horloĝoj kuras kontraŭ unu tunelo, kaj nur unu el ili estas la tunelo.
Tri malsamaj horloĝoj sur unu tunelo
La sesia horloĝo apartenas al la pordo: maksimuma konekta daŭro, senaktiva tempolimo aŭ ambaŭ, kaj ĝi finas la tunelon, kiam iu el ili estas atingita. La ĵetona horloĝo apartenas al la aŭtentiga sistemo, kaj ĝi decidas, kiom longe atestilo povas esti denove prezentita sen homo. La voja horloĝo apartenas al iu ajn NAT aŭ fajroŝirmilo inter kliento kaj pordo, kaj ĝi lasas eksvalidiĝi mapadon por fluoj, kiujn ĝi konsideras finitaj. Ĉiuj tri kaŭzas malkonekton, kaj neniu el ili produktas la saman protokolan linion.
Nur la unua estas VPN-koncepto. La aliaj du estas pruntitaj el identeco kaj retoj, kaj ili estas rutine konfuzitaj kun ĝi.
Kiel la ĵetono fakte reuziĝas
OpenVPN-serviloj povas eldoni aŭtentigan ĵetonon post la unua ensaluto, tiel ke renegocado de la rega kanalo ne plu petas de la uzanto atestilojn. La kliento daŭre prezentas tiun ĵetonon kaj la servilo decidas, kiom longe ĝi restas akceptebla. Kiam la vivodaŭro de la ĵetono estas pli mallonga ol la renegocada intervalo, la sekva renegocado malsukcesas kaj la kliento raportas aŭtentigan eraron anstataŭ tempolimon. Tial la sama profilo funkcias dum horo kaj poste malsukcesas ĉe fiksa punkto.
La renegocada intervalo estas aparta agordo. Ŝanĝi ĝin movas, kiam la ĵetono estas prezentata, ne kiom longe ĝi vivas.
Kiel ĉiu eksvalidiĝo aspektas de la kliento
Sesia tempolimo kutime alvenas kiel pura malkonekto kun kialo de la servilo, ofte post antaŭvidebla daŭro kaj sen ia aŭtentiga eraro. Senaktiva tempolimo aspektas kiel silento: la tunelo ĉesas porti trafikon, poste la vivtenilo rezignas. Ĵetona eksvalidiĝo alvenas kiel AUTH_FAILED meze de sesio, kiu funkciis unu sekundon antaŭe.
Legu la linion, poste rigardu la horloĝon. Daŭro, kiu kongruas kun agordita valoro, ne estas hazardo.
Kial konservita pasvorto ne helpas
Kaŝmemora pasvorto respondas al defio por pasvorto. Ĝi ne plilongigas la vivodaŭron de ĵetono, kaj ĝi ne plenumas defion por dua faktoro aŭ kontrolo de la aparata stato. Pliigi la oftecon de reprovoj, mallongigi konektajn tempolimojn aŭ reimporti la profilon nenion ŝanĝas pri tio, kiom longe la identeca sistemo akceptos la atestilon.
La daŭraj riparoj estas la ĝusta vivodaŭro sur la ĝusta objekto, aŭ klienta fluo, kiu povas plenumi la postulatan defion sen homo.
Kion dokumenti kaj testi
Notu ĉiujn tri valorojn: la sesiajn kaj senaktivajn limigojn de la pordo, la vivodaŭron de la ĵetono kaj la plej mallongan gravan mapadan tempolimon sur la vojo. Poste testu ĉiun eksvalidiĝon intence mallongigante unu valoron, observante, kion la kliento raportas, kaj restarigante ĝin. Konfirmu, kion la uzanto devas fari ĉe ĉiu limo, ĉar postuli plenan ensaluton ĉiun horon estas politika decido, kiun iu devintus fari intence.
Interrompo, kiu alvenas tute sen aŭtentiga okazaĵo, apartenas al la vojo aŭ al la senaktiva tempigilo, kaj tio estas alia esploro kun aliaj pruvoj.