Miks VPN-i taastamine küsib mandaate uuesti

Tunnel, mis töötas tunde, küsib parooli hetkel, mil sülearvuti ärkab, ja konfiguratsioonis pole midagi muutunud. Muutus mandaadi olek, mida taastamine üritas uuesti kasutada. Seda juhivad kolme liiki materjalid ja ainult üks neist elab üle meelevaldse vaheaja.

Lugege, millist neist klient küsis, sest kõik kolm aeguvad eri kellade järgi ja nurjuvad erinevate teadetega.

Kolm liiki korduvkasutatavat materjali

Vahemällu salvestatud parool on saladus, mida klient hoiab, ja see kehtib seni, kuni konto selle muudab. Sessiooni tokeni väljastab server pärast edukat sisselogimist, sellel on oma eluiga ja selle saab igal hetkel tühistada. TLS-i sessioonipilet või IKE turvaassotsiatsioon on protokolli olek, odav jätkata ja paroolist täiesti sõltumatu. Igaühe väljastab erinev komponent ja igaüks aegub omadel tingimustel.

Esimene elab üle taaskäivituse, teine elab tavaliselt üle une, ja kolmas ei pruugi võrguvahetust üldse üle elada. Nende segamini ajamine annab vale paranduse, näiteks parooli lähtestamise, mida kunagi ei tagastatud.

Küsimus ise on diagnoos. Brauseriaken või teise faktori kood tähendab, et server nõudis interaktiivset autentimist, samas kui vaikne tõrge ilma küsimuseta tähendab, et klient ei jõudnud piisavalt kaugele, et talt küsitaks.

Võtmeuuendus ei ole uuesti autentimine

Võtmeuuendus asendab võtmed, säilitades autenditud identiteedi, mistõttu see toimub terves tunnelis aeg-ajalt vaikselt. Uuesti autentimine kordab identiteedi kontrolli ennast ja see on sündmus, mis vajab teid. IKEv2 eristab neid kahte selgelt ja partner võib nõuda täielikku uuesti autentimist seatud intervallil, olenemata sellest, kui palju võtmeuuendusi vahepeal toimus. Väljast näevad mõlemad sündmused identsed, kuni loete, millist logi nimetab.

OpenVPN käitub oma sõnavaras samamoodi: uuesti läbirääkimise intervall värskendab andmekanalit ja autentimise tokeni saab kliendile tagasi anda, et vältida järgmisel ühendusel täielikku sisselogimist. Sellel tokenil on eluiga ja server otsustab, kas seda uuesti vastu võtta.

Seega võib taastamine kaheksa tunni pärast nurjuda seal, kus taastamine kaheksa minuti pärast õnnestus, ilma igasuguse konfiguratsioonimuudatuseta kummalgi poolel. See on kogu seletus küsimusele, mis ilmub alles pärast lõunat.

Kui klient ei suuda uut väljakutset lõpetada

Poliitika, mis nõuab brauseri sammu, nurjub kliendis, millel pole võimalust seda näidata. Peata serverid, käivituskriptid ja vanad profiilid, mis on ehitatud ainult parooliga autentimiseks, põrkuvad kõik selle seinaga ja tõrge ilmneb sageli üldise ajalõpuna, mitte autentimisveana.

Seadme- ja võrguüleminekud võivad samuti langeda poliitika hindamisaknasse, nii et rändlus Wi-Fi-lt hotspotile langeb kokku kontrolliga, mis oleks niikuinii toimunud. See kokkusattumus teeb võrgu süüdlaseks, kui põhjus on taimer.

openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth"
ipsec statusall | grep -i -E "rekey|reauth"

Esimene rida näitab uuesti läbirääkimise ja autentimise sündmusi kliendi enda logis, teine näitab turvaassotsiatsioone, mida strongSwan-partner parasjagu hoiab. Võrrelge ajatempleid hetkega, mil küsimus ilmus; kokkulangevus kinnitab taimerit, mitte võrku.

Mida teatada ja mida mitte välja lülitada

Kui käsitsi sisselogimine õnnestub ja automaatne korduskasutus nurjub järjekindlalt, öelge seda operaatorile täpselt nii. See nimetab komponendi: korduskasutuse tee, mitte mandaadi. Lisage tõrke aeg, kasutatav konto ja nähtud küsimuse tüüp.

Ärge lülitage välja teist faktorit, ärge jätke sertifikaadi valideerimist vahele ja ärge kleepige mandaate skripti, et taastamine oleks vaikne. Igaüks neist eemaldab kontrolli, mille järelevalveks poliitika olemas on, ja igaüks muudab sisselogimise küsimuse juhtumiks.

Küsige selle asemel toetatud voogu: klienti, mis suudab väljakutse lõpetada, tööpäevale vastavat tokeni eluiga või kinnitatud mitteinteraktiivset profiili masinale, mis ei saa küsida. Need on kõik konfiguratsiooniotsused, mille keegi saab heaks kiita, mida ümbersõit ei ole.