VPN-i korduskatsete tsüklist välja lukustatud: peatage kõigepealt klient

Kell 02:40 lukustub konto ja klaviatuuri taga ei ole kedagi. Riiulil olev klient esitab jätkuvalt parooli, mille see eelmisel kuul salvestas, lüüs keeldub sellest jätkuvalt, ja lukustuse taga olev loendur kasvab ilma inimese osaluseta. See on korduskatsete tsükkel, mitte rünnak, ja see tuleb peatada enne, kui konto saab taastada.

Käsitlege seda kahe probleemina kindlas järjekorras. Peatage kõigepealt saatja, seejärel taastage juurdepääs, sest vastupidine järjekord käivitab tsükli mõne minuti jooksul uuesti.

Tehke kindlaks, milline protsess tõrkeid saadab

Alustage identiteedisüsteemi ajatemplitest ja võrrelge neid iga kliendiga, millel on see konto. Hallatud profiil, järelevalveta teenus, sahtlis olev telefon ja vanade mandaatidega varulapter võivad kõik autentida sama isikuna. See, mis ebaõnnestub iga paari sekundi järel, on tsükkel, ja see, mis ebaõnnestub kord päevas, on tavaliselt unustanud inimene. Mõlemad toidavad sama loendurit ja selles ongi lõks.

Eristage vaatamise ajal tagasilükkamist kättesaamatust lüüsist. Ajalõpp, nime lahendamise tõrge või suletud port ei suurenda tavaliselt tõrgete loendurit, samas kui lõpule viidud autentimisvahetus, mis tagastab halva mandaadi tulemuse, suurendab. Kahe segamine annab vale paranduse, sest üks nõuab kliendi peatamist ja teine tee parandamist.

Kolm tingimust, mis määravad vastuse

Kolm asjaolu kitsendavad selle üheks vastuseks. Esiteks, kas kirje näitab selgesõnalist tagasilükkamist või transporditõrget. Teiseks, kas identiteet on seadmete või teenuste vahel jagatud. Kolmandaks, kas kordav klient on see, mida teie haldate, või see, mida keegi teine juhib.

Selgesõnaline tagasilükkamine ühelt kliendilt, mida teie juhite, tähendab selle kliendi peatamist, kinnitatud marsruudi kaudu lukustuse avamist ja ühe teadliku sisselogimise tegemist. Jagatud identiteet surub vastuse pigem seadistamise kui lukustuse avamise suunas, sest tsükkel jätkub hetkel, mil teine seade uuesti ühendub. Transporditõrked osutavad võrgukihile, kus konto kaitse ei ole üldse teema.

Ükski neist harudest ei hõlma kaitse nõrgestamist. Lukustuslävendid ja kiiruspiirangud on olemas seetõttu, et sama signaal, mis katkestuse ajal häirib, on signaal, mis aeglustab parooli arvamise katset.

Peatage saatja enne lukustuse avamist

Peatage üksus või ühendus, mis jätkab autentimist, ja peatage see nii, et see peab vastu taaskäivitusele. Kliendi pausile panemine ei ole piisav, kui selle teenus on seatud algama automaatselt käivitamisel.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Oodake paar minutit ja veenduge, et tõrgete loendur lakkab liikumast. See paus on tõestus, et leidsite õige allika. Kui tõrked jätkuvad, tuleb tsükkel mujalt ja lukustuse avamise samm oleks raisatud.

Alles siis kasutage operaatori dokumenteeritud lukustuse avamise või taastamise protsessi ja järgige seda täpselt ühe kontrollitud sisselogimisega seadmest, mida kavatsete alles hoida. Täpsed lävendid, jahtumisperioodid ja taastamise sõnastus on teenusepõhised, seega lugege neid, selle asemel et numbrit arvata.

Kõrvaldage põhjus, et see ei naaseks

Uuendage salvestatud mandaati seal, kus seda omatakse: operatsioonisüsteemi võtmehoidlas, kliendi profiilis või teenusekonto konfiguratsioonis. Selle kustutamine ühest kohast, samal ajal kui teine hoiab koopiat, on viis, kuidas tsükkel nädal hiljem naaseb, tavaliselt siis, kui võrguühenduseta olnud sülearvuti naaseb ja mängib oma vahemällu salvestatud väärtuse uuesti.

Andke automatiseerimisele oma identiteet. Eraldi seadistatud konto oma mandaadi ja oma piirangutega hoiab ära masina tõrke tõttu inimese e-postist välja lukustamise ja muudab tõrke logides omistatavaks. Lisage kliendile tagasihoidmine, et tagasilükatud mandaat peataks kordused nende kordamise asemel, ja seadistage häire korduvate autentimistõrgete korral, et järgmine tsükkel märgataks minutite jooksul, mitte kell 02:40.

Kui aruanne läheb toetusse, hoidke alles konto identifikaator, ajatemplid ja kliendi nimi. Paroolid ja taastamismaterjalid ei kuulu kunagi sellesse kirjesse.