قفل شدن حساب به دلیل حلقه تلاش مجدد VPN: ابتدا کلاینت را متوقف کنید

ساعت 02:40 حساب قفل می‌شود و هیچ‌کس پشت صفحه‌کلید نیست. یک کلاینت روی قفسه همچنان گذرواژه‌ای را ارائه می‌دهد که ماه گذشته ذخیره کرده است، دروازه همچنان آن را رد می‌کند و شمارنده پشت قفل بدون حضور هیچ انسانی بالا می‌رود. این یک حلقه تلاش مجدد است و نه حمله، و باید پیش از آنکه حساب بازیابی شود متوقف گردد.

با آن مانند دو مشکل در یک ترتیب ثابت برخورد کنید. نخست فرستنده را متوقف کنید و سپس دسترسی را بازگردانید، زیرا انجام این کار به ترتیب معکوس حلقه را در چند دقیقه دوباره راه می‌اندازد.

مشخص کنید کدام فرایند شکست‌ها را می‌فرستد

از مهرهای زمانی در سامانه هویت شروع کنید و آن‌ها را با هر کلاینتی که حساب را در اختیار دارد تطبیق دهید. یک نمایه مدیریت‌شده، یک سرویس بدون نظارت، یک تلفن در کشو و یک لپ‌تاپ یدکی با اعتبارنامه‌های قدیمی همگی می‌توانند به‌عنوان همان شخص احراز هویت کنند. آنکه هر چند ثانیه شکست می‌خورد حلقه است و آنکه روزی یک بار شکست می‌خورد معمولاً انسانی است که فراموش کرده. هر دو یک شمارنده را تغذیه می‌کنند و تله همین‌جاست.

هنگام بررسی، رد شدن را از در دسترس نبودن دروازه تشخیص دهید. یک پایان مهلت، شکست در تفکیک نام یا یک درگاه بسته معمولاً شمارنده شکست را افزایش نمی‌دهد، در حالی که تبادل احراز هویت کامل‌شده‌ای که نتیجه اعتبارنامه بد را برمی‌گرداند آن را افزایش می‌دهد. آمیختن این دو راه‌حل اشتباه می‌دهد، زیرا یکی به توقف کلاینت نیاز دارد و دیگری به تعمیر مسیر.

سه شرطی که پاسخ را تعیین می‌کند

سه واقعیت این را به یک پاسخ محدود می‌کند. نخست، اینکه سابقه رد شدن صریح را نشان می‌دهد یا شکست انتقال. دوم، اینکه هویت میان دستگاه‌ها یا سرویس‌ها مشترک است. سوم، اینکه کلاینت تلاش‌کننده یکی از کلاینت‌هایی است که شما مدیریت می‌کنید یا یکی که شخص دیگری کنترل می‌کند.

رد شدن صریح از یک کلاینت که شما کنترل می‌کنید یعنی آن کلاینت را متوقف کنید، از مسیر تأییدشده قفل را باز کنید و یک ورود آگاهانه انجام دهید. هویت مشترک پاسخ را به‌سوی تأمین سوق می‌دهد نه باز کردن قفل، زیرا حلقه در همان لحظه‌ای که دستگاه دیگر دوباره متصل شود از سر گرفته می‌شود. شکست‌های انتقال به لایه شبکه اشاره می‌کنند، جایی که حفاظت از حساب اصلاً موضوع نیست.

هیچ‌یک از این شاخه‌ها شامل تضعیف حفاظت نیست. آستانه‌های قفل و محدودیت‌های نرخ وجود دارند چون همان سیگنالی که در زمان قطعی شما را آزار می‌دهد، سیگنالی است که تلاش برای حدس گذرواژه را کُند می‌کند.

پیش از باز کردن قفل، فرستنده را متوقف کنید

واحد یا اتصالی را که همچنان احراز هویت می‌کند متوقف کنید و آن را به‌گونه‌ای متوقف کنید که از راه‌اندازی مجدد جان سالم به در ببرد. متوقف کردن موقت کلاینت کافی نیست وقتی سرویس آن برای شروع خودکار در هنگام بوت تنظیم شده است.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

چند دقیقه صبر کنید و تأیید کنید که شمارنده شکست از حرکت باز می‌ایستد. همان توقف اثبات این است که منبع درست را یافته‌اید. اگر شکست‌ها ادامه یابند، حلقه از جای دیگری می‌آید و گام باز کردن قفل هدر می‌رفت.

تنها در این صورت از فرایند مستند باز کردن قفل یا بازیابی اپراتور استفاده کنید و آن را با دقیقاً یک ورود کنترل‌شده از دستگاهی که قصد نگه‌داشتنش را دارید دنبال کنید. آستانه‌های دقیق، دوره‌های انتظار و عبارت‌بندی بازیابی به سرویس بستگی دارند، پس آن‌ها را بخوانید نه اینکه عددی را حدس بزنید.

علت را بردارید تا بازنگردد

اعتبارنامه ذخیره‌شده را همان‌جایی که در اختیار است به‌روز کنید: در جاکلیدی سیستم‌عامل، در نمایه کلاینت یا در پیکربندی حساب سرویس. پاک کردن آن از یک جا در حالی که جای دیگر نسخه‌ای نگه می‌دارد همان راهی است که حلقه یک هفته بعد بازمی‌گردد، معمولاً وقتی لپ‌تاپی که آفلاین بوده برمی‌گردد و مقدار کش‌شده خود را دوباره اجرا می‌کند.

به خودکارسازی هویت خودش را بدهید. حسابی که جداگانه تأمین شده و اعتبارنامه و محدودیت‌های خود را دارد مانع می‌شود خرابی یک ماشین انسانی را از ایمیل بیرون بیندازد و آن خرابی را در گزارش‌ها قابل انتساب می‌کند. یک عقب‌نشینی به کلاینت اضافه کنید تا اعتبارنامه ردشده تلاش‌ها را متوقف کند به‌جای تکرارشان، و برای شکست‌های تکراری احراز هویت هشدار بگذارید تا حلقه بعدی در چند دقیقه دیده شود و نه در ساعت 02:40.

وقتی گزارش به پشتیبانی می‌رود، شناسه حساب، مهرهای زمانی و نام کلاینت را نگه دارید. گذرواژه‌ها و مواد بازیابی هرگز متعلق به آن سابقه نیستند.