Kial VPN-rekonekto denove petas akreditaĵojn
Konservita pasvorto kaj reuzebla ĵetono finiĝas laŭ malsamaj horaroj. Legu, kiun materialon la rekonekto petis, antaŭ ol ŝanĝi ion ajn ĉe la kliento.
Tunelo, kiu funkciis dum horoj, petas pasvorton en la momento, kiam la tekkomputilo vekiĝas, kaj nenio en la agordo ŝanĝiĝis. Kio ja ŝanĝiĝis estas la stato de la akreditaĵo, kiun la rekonekto provis reuzi. Tri specoj de materialo regas tion, kaj nur unu el ili postvivas arbitran paŭzon.
Legu, kiun la kliento petis, ĉar la tri finiĝas laŭ malsamaj horloĝoj kaj malsukcesas per malsamaj mesaĝoj.
Tri specoj de reuzebla materialo
Kaŝmemora pasvorto estas sekreto tenata de la kliento, kaj ĝi restas valida ĝis la konto ŝanĝos ĝin. Sesio-ĵetono estas eldonita de la servilo post sukcesa ensaluto, portas sian propran vivdaŭron kaj povas esti revokita en iu ajn momento. TLS-sesia bileto aŭ IKE-sekureca asocio estas protokola stato, malmultekosta por rekomenci kaj tute sendependa de via pasvorto. Ĉiun eldonas malsama komponanto, kaj ĉiu finiĝas laŭ siaj propraj kondiĉoj.
La unua postvivas restartigon, la dua kutime postvivas dormeton, kaj la tria eble tute ne postvivos retŝanĝon. Konfuzi ilin produktas la malĝustan riparon, ekzemple restarigi pasvorton, kiu neniam estis rifuzita.
La instigo mem estas la diagnozo. Retumila fenestro aŭ dua-faktora kodo signifas, ke la servilo postulis interagan aŭtentikigon, dum silenta malsukceso sen instigo signifas, ke la kliento neniam iris sufiĉe malproksimen por esti demandita.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Ŝlosila renovigo ne estas reaŭtentikigo
Ŝlosila renovigo anstataŭigas ŝlosilojn konservante la aŭtentikigitan identecon, kaj tial ĝi okazas silente de tempo al tempo en sana tunelo. Reaŭtentikigo ripetas la identeckontrolon mem, kaj tio estas la evento, kiu bezonas vin. IKEv2 apartigas la du eksplicite, kaj partnero povas postuli plenan reaŭtentikigon je difinita intervalo sendepende de kiom da ŝlosilaj renovigoj okazis intere. La du eventoj aspektas identaj de ekstere ĝis vi legas, kiun la protokolo nomas.
OpenVPN kondutas same en sia propra vortprovizo: interkonsiliĝa intervalo refreŝigas la datuman kanalon, kaj aŭtentikiga ĵetono povas esti redonita al la kliento por eviti plenan ensaluton ĉe la sekva konekto. Tiu ĵetono havas vivdaŭron, kaj la servilo decidas ĉu akcepti ĝin denove.
Do rekonekto post ok horoj povas malsukcesi tie, kie rekonekto post ok minutoj sukcesis, sen ia agorda ŝanĝo ĉe ambaŭ flankoj. Tio estas la tuta klarigo por instigo, kiu aperas nur post tagmanĝo.
Kiam la kliento ne povas fini la novan defion
Politiko postulanta retumilan paŝon malsukcesos ĉe kliento, kiu ne havas rimedon por montri ĝin. Senkapaj serviloj, startskriptoj kaj malnovaj profiloj konstruitaj por nur-pasvorta aŭtentikigo ĉiuj trafas tiun muron, kaj la fiasko ofte aperas kiel ĝenerala tempolimo anstataŭ aŭtentikiga eraro.
Aparataj kaj retaj transiroj ankaŭ povas fali ene de politika taksfenestro, do migrado de Wi-Fi al krompunkto koincidas kun kontrolo, kiu okazus ĉiuokaze. La koincido igas la reton kulpa, kiam la kaŭzo estas la tempigilo.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
La unua linio montras interkonsiliĝajn kaj aŭtentikigajn eventojn en la propra protokolo de la kliento, kaj la dua montras la sekurecajn asociojn, kiujn strongSwan-partnero nun tenas. Komparu la tempomarkojn kun la momento, kiam la instigo aperis; kongruo konfirmas la tempigilon, ne la reton.
Kion raporti, kaj kion ne malŝalti
Se permana ensaluto sukcesas kaj aŭtomata reuzo konsekvence malsukcesas, diru ĝuste tion al la operatoro. Ĝi nomas la komponanton: la reuzan vojon, ne la akreditaĵon. Inkluzivu la horon de la fiasko, la uzatan konton kaj la tipon de instigo, kiun vi vidis.
Ne malŝaltu la duan faktoron, ne preterlasu atestilan validigon kaj ne algluu akreditaĵojn en skripton por silentigi la rekonekton. Ĉiu el tiuj forigas la kontrolon, por kiu la politiko ekzistas, kaj ĉiu igas ensalutan instigon incidento.
Petu anstataŭe la subtenatan fluon: klienton, kiu povas fini la defion, ĵetonan vivdaŭron kongruan kun la labora tago, aŭ aprobitan neinteragan profilon por la maŝino, kiu ne povas demandi. Ĉiuj tiuj estas agordaj decidoj, kiujn iu povas aprobi, kion provizora solvo ne estas.