VPN-i sessioonitaimer ja autentimistõend aeguvad eraldi

VPN-i katkestus võib juhtuda põhjustel, mis kliendi poolt vaadates näevad identsed välja ja millel pole all hoopiski midagi ühist: tunnelisessioon lõppes, käivitus jõudetaimer või muutus kehtetuks volitus, mida klient uuesti kasutas. Igal neist on eri omanik ja eri parandus. Just katkestuse hetke vigade jada eristab neid, ja see on tavaliselt üks rida.

Ühe tunneli vastu jookseb kolm kella, ja ainult üks neist on tunnel.

Kolm erinevat kella ühes tunnelis

Sessioonikell kuulub lüüsile: ühenduse maksimaalne kestus, jõudetaimer või mõlemad, ja see lõpetab tunneli, kui kumbki neist saavutatakse. Tõendikell kuulub autentimissüsteemile ja otsustab, kui kaua saab volitust inimeseta uuesti esitada. Teekella kuulub mis tahes NAT või tulemüür, mis asub kliendi ja lüüsi vahel, ja see laseb aeguda nende voogude vastendustel, mida ta peab lõpetatuks. Kõik kolm tekitavad katkestuse ja ükski neist ei anna sama logirida.

Ainult esimene on VPN-i mõiste. Ülejäänud kaks on laenatud identiteedist ja võrkudest ning neid aetakse sellega rutiinselt segi.

Kuidas tõendit tegelikult uuesti kasutatakse

OpenVPN serverid võivad pärast esmast sisselogimist väljastada autentimistõendi, nii et juhtkanali uusläbirääkimine ei küsi kasutajalt volitusi uuesti. Klient esitab seda tõendit edasi ja server otsustab, kui kaua see vastuvõetav püsib. Kui tõendi eluiga on uusläbirääkimise intervallist lühem, ebaõnnestub järgmine uusläbirääkimine ja klient teatab autentimisveast, mitte aegumisest. Seetõttu töötab sama profiil tund aega ja ebaõnnestub siis kindlas punktis.

Uusläbirääkimise intervall on eraldi seade. Selle muutmine liigutab seda, millal tõendit esitatakse, mitte kui kaua see elab.

Kuidas iga aegumine kliendi poolt vaadates välja näeb

Sessiooni aegumine saabub tavaliselt puhta katkestusena koos serveripoolse põhjusega, sageli etteaimatava kestuse järel ja ilma autentimisveata. Jõudeaegumine näeb välja nagu vaikus: tunnel lõpetab liikluse kandmise, seejärel annab elushoidja alla. Tõendi aegumine saabub AUTH_FAILED-na keset sessiooni, mis töötas sekund varem.

Lugege rida ja vaadake siis kella. Kestus, mis ühtib seadistatud väärtusega, ei ole juhus.

Miks salvestatud parool ei aita

Vahemällu salvestatud parool vastab parooli väljakutsele. See ei pikenda tõendi eluiga ega rahulda teise teguri või seadme seisundi kontrolli väljakutset. Katsete sageduse suurendamine, ühenduse aegumiste lühendamine või profiili uuesti importimine ei muuda midagi selles, kui kaua identiteedisüsteem volitust aktsepteerib.

Püsivad parandused on õige eluiga õigel objektil või kliendivoog, mis suudab vajaliku väljakutse inimeseta läbida.

Mida dokumenteerida ja testida

Kirjutage üles kõik kolm väärtust: lüüsi sessiooni- ja jõudepiirangud, tõendi eluiga ja lühim asjakohane vastenduse aegumine teel. Seejärel testige iga aegumist sihilikult, lühendades üht väärtust, jälgides, mida klient teatab, ja selle taastades. Kinnitage, mida kasutaja igal piiril tegema peab, sest täieliku sisselogimise nõudmine iga tund on poliitikaotsus, mille keegi oleks pidanud sihilikult tegema.

Katkestus, mis saabub täiesti ilma autentimissündmuseta, kuulub teele või jõudetaimerile, ning see on teine uurimine teiste tõenditega.