OpenVPNek geroago uzten du OTP saio bat: zer behar du berrautaketak

Bezeroaren ikuspegitik, lan egiten duen saio baten ordubetean gertatzen den deskonexio aleatorioa dirudi. Erretiluko ikonoa desagertu egiten da, tunela berreraiki egiten da, eta erregistroak autentifikazio hutsegitea erakusten du, sareko errorea izan beharrean. Benetan gertatu zena zera da: saioak berriro negoziatu zuela eta bigarren eskuko-trukeak bezeroak jada kopiarik baliozkorik ez zeukan kredentzialak behar zituela. Saioa hastean funtzionatu zuen erabilera bakarreko kode batek ezin du berriro funtzionatu, beraz, gako-berritzeak huts egiten du diseinatuta zegoen bezalaxe.

Konponbidea bigarren eskuko-trukeak zer aurkeztu behar duen erabakitzea da, ez berriro saiatzeko tenporizadore luzeagoa.

Jarraitu trukea bezeroaren ikuspegitik

Saioa hastean bezeroak erabiltzaile-izena, pasahitza eta token gailuko kode bat bidaltzen ditu, eta zerbitzariak konbinazioa onartzen du. Ondoren saioa exekutatzen da berriro negoziatzeko abiarazlea piztu arte, eta horrek TLS eskuko-truke berri bat hasten du lehendik dagoen tunelaren barruan. Eskuko-truke horrek berriro eskatzen du autentifikazioa. Zerbitzariaren autentifikazio-bideak pasahitza gehi uneko erabilera bakarreko kodea espero baditu, bezeroak ez du koderik eskaintzeko, erabiltzailea bertan dagoenean idazteko izan ezik.

Bezero gehienek ez dute eskatzerik irekitzen saioaren erdian, beraz, eskuko-trukea denboraz kanpo geratzen da eta tunela erortzen da. Erabiltzaileak berrikonexioa ikusten du, ez autentifikazio-eskaera, eta horregatik lehen txostenak sarea erruduntzen du normalean.

auth-gen-tokenek bigarren galderari nor erantzuten dion aldatzen du

auth-gen-token aukerak zerbitzariari saioa behar bezala hasi ondoren token bat jaulkitzeko baimena ematen dio, eta geroagoko berriro negoziazioek token hori aurkezten dute pasahitza eta kodea errepikatu beharrean. Eskuliburuak bere iraupena eta berritze-portaera dokumentatzen ditu, eta tokena bere mugaeguna duen kredentzial gisa tratatu behar da. Bide lehenetsian zerbitzariak berak balioztatzen du tokena, kanpoko pasahitz-autentifikatzailea berriro deitu beharrean.

Kanpoko autentifikazio-integrazioa badago, banaketa hori aldatzen da. Pluginak tokenaren egoera ulertu eta bere egiaztapenak aplikatu behar ditu, zerbitzaria ez baita saioa jarraitzen duen erabakitzen duen osagai bakarra. Tokena beste kode numeriko erabilera bakarreko bat bezala tratatzea ez da eginbide honen implementazioa.

Erabaki kontuaren egoerarekin zer gertatzen den

Kontuaren sarbidea baino gehiago irauten duen tokena zulo politikoa da. Erabaki nola sartzen diren indarrean kontu desgaituta bat, kendutako talde-kidetasuna edo baliogabetutako gailu bat tokena oraindik baliozkoa den bitartean. Tokenaren iraupen laburrek leihoa txikiagotzen dute; baliogabetze-bide esplizitu batek nahita egindakoa bihurtzen du. Idatzi erantzuna aukera gaitu aurretik, bide lehenetsiak ez baitu kanpoko autentifikatzailea kontsultatzen berriro negoziazio bakoitzean.

Zerbitzari anitzeko ezarpen batean, tokenak sinatzeko sekretua partekatu behar da, edo bezeroa bere tokena balioztatu ezin duen nodo batera bidal daiteke.

Probatu mugaeguna eta berrikonexioa, ez soilik saioa hastea

Txikitu berriro negoziatzeko tartea probako profilean, bigarren eskuko-trukea zuk ikusten duzun bitartean gerta dadin, eta gero jarraitu bi erregistroak. Egiaztatu tokena saioa hastean jaulkitzen dela, gakoa berritzean aurkezten dela, eta konfiguratutako iraupenaren arabera berritzen edo berriz jaulkitzen dela. Gero behartu tokenaren mugaeguna eta berrikonexio osoa, garbi birkonektatzen den bezero batek ere huts egin baitezake gako-berritzearen bidean.

Probatu kontua kentzea azkenik. Kasu horrek esaten dizu idatzi duzun politika betearazten den edo soilik dokumentatuta dagoen.

Ez konpondu berritzea desgaituta

Berriro negoziatzeko tartea zero ezartzeak bi parteetan sintoma kentzen du, eta harekin batera gakoen errotazioa. Horrek kredentzialen berrerabilpen arazoa inork berrikusi ez duen politika-aldaketa baten atzean ezkutatzen du. Mantendu berritzea, eta aukeratu zerbitzariak emandako token baten eta erronka interaktibo berri baten artean erabiltzailea bertan dagoen ala ez kontuan hartuta.

Berriro saiatzeko tenporizadore luzeagoak ez du erabilitako kode bat berriro baliozko bihurtzen. Deskonexioa atzeratu besterik ez du egiten, eta erregistroa irakurtzeko zailagoa bihurtzen du.