OpenVPN katkestab OTP-sessiooni hiljem: mida vajab uuesti autentimine

Kliendi poolt vaadates näeb see välja nagu juhuslik katkestus tund aega pärast töötava sessiooni algust. Salve ikoon kaob, tunnel ehitatakse uuesti üles ja logi näitab autentimistõrget, mitte võrguviga. Tegelikult läbis sessioon uuesti läbirääkimise ja teine käepigistus vajas volitusi, millest kliendil enam kehtivat koopiat polnud. Sisselogimisel töötanud ühekordne kood ei saa uuesti töötada, seega võtmeuuendus ebaõnnestub täpselt nii, nagu see on kavandatud.

Lahendus on otsus selle kohta, mida teine käepigistus peaks esitama, mitte pikem korduskatse taimer.

Jälgige vahetust kliendi vaatepunktist

Sisselogimisel saadab klient kasutajanime, parooli ja koodi loaseadmest ning server võtab kombinatsiooni vastu. Seejärel töötab sessioon, kuni käivitub uuesti läbirääkimise päästik, mis alustab olemasoleva tunneli sees uue TLS-käepigistuse. See käepigistus küsib uuesti autentimist. Kui serveri autentimistee ootab parooli pluss kehtivat ühekordset koodi, pole kliendil pakkuda uut koodi, kui kasutaja pole kohal, et seda sisestada.

Enamik kliente ei ava sessiooni keskel küsimust, seega käepigistus aegub ja tunnel kukub. Kasutaja näeb taasühendust, mitte autentimisküsimust, ja seetõttu süüdistab esimene raport tavaliselt võrku.

auth-gen-token muudab seda, kes vastab teisele küsimusele

auth-gen-token on valik, mis lubab serveril pärast edukat sisselogimist loa väljastada, ja hilisemad uuesti läbirääkimised esitavad selle loa parooli ja koodi kordamise asemel. Juhend dokumenteerib selle eluea ja uuendamiskäitumise, ja litsentsi tuleb käsitleda volitusena, millel on oma aegumine. Vaikimisi valideerib server loa ise, selle asemel et kutsuda välist parooliautentijat uuesti.

Välise autentimislõimingu korral see jaotus muutub. Plugin peab mõistma loa olekut ja rakendama oma kontrolle, sest server ei ole enam ainus komponent, mis otsustab, kas sessioon jätkub. Loa käsitlemine veel ühe numbrilise ühekordse koodina ei ole selle funktsiooni rakendus.

Otsustage, mis juhtub konto staatusega

Luba, mis elab üle konto juurdepääsu, on poliitikaauk. Otsustage, kuidas deaktiveeritud konto, eemaldatud grupiliikmelisus või tühistatud seade jõustub, kui luba on veel kehtiv. Lühikesed loa eluead teevad akna väiksemaks; selgesõnaline tühistamistee muudab selle tahtlikuks. Kirjutage vastus üles enne valiku lubamist, sest vaikimisi tee ei konsulteeri välise autentijaga iga uuesti läbirääkimise juures.

Mitme serveri juurutusel tuleb loa allkirjastamise saladus jagada, muidu võidakse klient saata sõlme, mis ei suuda selle luba valideerida.

Testige aegumist ja taasühendust, mitte ainult sisselogimist

Vähendage testprofiilis uuesti läbirääkimise intervalli, et teine käepigistus toimuks siis, kui te vaatate, ja jälgige seejärel mõlemat logi. Kinnitage, et luba väljastatakse sisselogimisel, esitatakse võtmeuuendusel ning uuendatakse või väljastatakse uuesti vastavalt seadistatud elueale. Seejärel sundige loa aegumine ja täielik taasühendus, sest puhtalt taasühenduv klient võib ikkagi võtmeuuenduse teel ebaõnnestuda.

Testige konto eemaldamist viimasena. See juhtum ütleb teile, kas kirjutatud poliitikat rakendatakse või ainult dokumenteeritakse.

Ärge parandage seda uuendamise väljalülitamisega

Uuesti läbirääkimise intervalli nulliks seadmine mõlemal poolel eemaldab sümptomi ja koos sellega võtmerotatsiooni. See peidab volituste korduskasutuse probleemi poliitikamuudatuse taha, mida keegi ei vaadanud. Jätke uuendamine alles ja valige serveri väljastatud loa ning värske interaktiivse väljakutse vahel selle järgi, kas kasutaja on kohal.

Pikem korduskatse taimer ei muuda kulunud koodi uuesti kehtivaks. See ainult lükkab katkestust edasi ja teeb logi raskemini loetavaks.