VPN:n uudelleenyrityssilmukan lukitsemana: pysäytä asiakas ensin

Kello 02:40 tili lukittuu, eikä kukaan ole näppäimistöllä. Hyllyllä oleva asiakasohjelma esittää edelleen salasanaa, jonka se tallensi viime kuussa, yhdyskäytävä hylkää sen edelleen, ja lukituksen takana oleva laskuri kasvaa ilman, että ihminen on mukana. Tämä on uudelleenyrityssilmukka eikä hyökkäys, ja se on pysäytettävä ennen kuin tili voidaan palauttaa.

Käsittele sitä kahtena ongelmana kiinteässä järjestyksessä. Pysäytä ensin lähettäjä ja palauta sitten pääsy, sillä päinvastainen järjestys käynnistää silmukan uudelleen muutamassa minuutissa.

Selvitä, mikä prosessi lähettää epäonnistumiset

Aloita identiteettijärjestelmän aikaleimoista ja vertaa niitä jokaiseen asiakkaaseen, jolla on tili. Hallittu profiili, valvomaton palvelu, laatikossa oleva puhelin ja vanhoilla tunnistetiedoilla varustettu varakannettava voivat kaikki todentua samana henkilönä. Se, joka epäonnistuu muutaman sekunnin välein, on silmukka, ja se, joka epäonnistuu kerran päivässä, on yleensä unohtanut ihminen. Molemmat ruokkivat samaa laskuria, ja siinä on ansa.

Erottele hylkäys tavoittamattomasta yhdyskäytävästä, kun katsot. Aikakatkaisu, nimenselvityksen epäonnistuminen tai suljettu portti ei yleensä kasvata epäonnistumislaskuria, kun taas loppuun suoritettu todennusvaihto, joka palauttaa huonon tunnistetiedon tuloksen, kasvattaa. Näiden sekoittaminen tuottaa väärän korjauksen, koska toinen vaatii asiakkaan pysäyttämisen ja toinen polun korjaamisen.

Kolme ehtoa, jotka ratkaisevat vastauksen

Kolme tosiasiaa rajaa tämän yhteen vastaukseen. Ensinnäkin, näkyykö tietueessa nimenomainen hylkäys vai siirtovirhe. Toiseksi, onko identiteetti jaettu laitteiden tai palvelujen kesken. Kolmanneksi, onko uudelleen yrittävä asiakas sellainen, jota sinä hallinnoit, vai sellainen, jota joku muu hallitsee.

Nimenomainen hylkäys yhdeltä asiakkaalta, jota hallitset, tarkoittaa, että pysäytät kyseisen asiakkaan, avaat lukituksen hyväksyttyä reittiä ja teet yhden tarkoituksellisen kirjautumisen. Jaettu identiteetti työntää vastauksen tarjoamiseen lukituksen avaamisen sijaan, koska silmukka jatkuu heti, kun toinen laite yhdistää uudelleen. Siirtovirheet osoittavat verkkokerrokseen, jossa tilin suojaus ei ole lainkaan kysymys.

Mikään näistä haaroista ei sisällä suojauksen heikentämistä. Lukituksen kynnysarvot ja nopeusrajoitukset ovat olemassa, koska sama signaali, joka ärsyttää sinua katkoksen aikana, on signaali, joka hidastaa salasanan arvausyritystä.

Pysäytä lähettäjä ennen lukituksen avaamista

Pysäytä se yksikkö tai yhteys, joka jatkaa todennusta, ja pysäytä se niin, että se kestää uudelleenkäynnistyksen. Asiakkaan keskeyttäminen ei riitä, kun sen palvelu on asetettu käynnistymään automaattisesti käynnistyksen yhteydessä.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Odota muutama minuutti ja varmista, että epäonnistumislaskuri lakkaa liikkumasta. Se tauko on todiste siitä, että löysit oikean lähteen. Jos epäonnistumiset jatkuvat, silmukka tulee muualta ja lukituksen avausvaihe olisi mennyt hukkaan.

Vasta sitten käytä operaattorin dokumentoitua lukituksen avaus- tai palautusprosessia ja seuraa sitä täsmälleen yhdellä hallitulla kirjautumisella laitteesta, jonka aiot pitää. Tarkat kynnysarvot, jäähdytysjaksot ja palautuksen sanamuoto ovat palvelukohtaisia, joten lue ne sen sijaan, että arvaisit lukua.

Poista syy, jotta se ei palaa

Päivitä tallennettu tunnistetieto siellä, missä se on omistuksessa: käyttöjärjestelmän avainnipussa, asiakasprofiilissa tai palvelutilin kokoonpanossa. Sen tyhjentäminen yhdestä paikasta, kun toinen pitää kopiota, on tapa, jolla silmukka palaa viikkoa myöhemmin, yleensä kun offline-tilassa ollut kannettava palaa ja toistaa välimuistiin tallennetun arvonsa.

Anna automaatiolle oma identiteetti. Erikseen tarjottu tili, jolla on omat tunnistetietonsa ja omat rajansa, estää laitoksen vian lukitsemasta ihmistä sähköpostin ulkopuolelle, ja se tekee viasta lokissa kohdistettavan. Lisää asiakkaalle perääntyminen, jotta hylätty tunnistetieto pysäyttää uudelleenyritykset niiden toistamisen sijaan, ja hälytä toistuvista todennusvirheistä, jotta seuraava silmukka huomataan minuuteissa eikä kello 02:40.

Kun raportti menee tukeen, säilytä tilin tunniste, aikaleimat ja asiakkaan nimi. Salasanat ja palautusmateriaali eivät koskaan kuulu siihen tietueeseen.