VPN-istunnon ajastin ja todennustunniste vanhenevat erikseen

VPN-yhteys voi katketa syistä, jotka näyttävät asiakkaan puolelta samanlaisilta eikä niillä ole pinnan alla mitään yhteistä: tunnelin istunto päättyi, joutoajan ajastin laukesi tai tunnistetieto, jota asiakas käytti uudelleen, vanheni. Jokaisella on eri omistaja ja eri korjaus. Juuri katkeamishetken virhesarja erottaa ne, ja se on yleensä yksi rivi.

Kolme kelloa käy yhtä tunnelia vastaan, ja vain yksi niistä on tunneli.

Kolme eri kelloa yhdessä tunnelissa

Istunnon kello kuuluu yhdyskäytävälle: yhteyden enimmäiskesto, joutoajan aikaraja tai molemmat, ja se päättää tunnelin, kun kumpi tahansa saavutetaan. Tunnisteen kello kuuluu todennusjärjestelmälle, ja se päättää, kuinka kauan tunnistetieto voidaan esittää uudelleen ilman ihmistä. Polun kello kuuluu mille tahansa NATille tai palomuurille asiakkaan ja yhdyskäytävän välissä, ja se vanhentaa niiden virtojen kuvaukset, jotka se katsoo päättyneiksi. Kaikki kolme tuottavat katkoksen, eikä mikään niistä tuota samaa lokiriviä.

Vain ensimmäinen on VPN-käsite. Kaksi muuta on lainattu identiteetistä ja verkoista, ja ne sekoitetaan siihen rutiininomaisesti.

Miten tunnistetta todella käytetään uudelleen

OpenVPN-palvelimet voivat myöntää todennustunnisteen ensimmäisen kirjautumisen jälkeen, joten ohjauskanavan uudelleenneuvottelu ei kysy käyttäjältä tunnistetietoja uudelleen. Asiakas esittää tunnistetta edelleen ja palvelin päättää, kuinka kauan se pysyy hyväksyttävänä. Kun tunnisteen elinikä on lyhyempi kuin uudelleenneuvotteluväli, seuraava uudelleenneuvottelu epäonnistuu ja asiakas ilmoittaa todennusvirheen aikakatkaisun sijaan. Siksi sama profiili toimii tunnin ja epäonnistuu sitten kiinteässä pisteessä.

Uudelleenneuvotteluväli on erillinen asetus. Sen muuttaminen siirtää sitä, milloin tunniste esitetään, ei sitä, kuinka kauan se elää.

Miltä kukin vanheneminen näyttää asiakkaan puolelta

Istunnon aikakatkaisu saapuu yleensä puhtaana katkoksena, jossa on palvelimen puolen syy, usein ennustettavan keston jälkeen ja ilman todennusvirhettä. Joutoajan aikakatkaisu näyttää hiljaisuudelta: tunneli lakkaa kuljettamasta liikennettä, sitten keepalive antaa periksi. Tunnisteen vanheneminen saapuu AUTH_FAILEDina kesken istunnon, joka toimi sekuntia aiemmin.

Lue rivi ja katso sitten kelloa. Kesto, joka vastaa asetettua arvoa, ei ole sattumaa.

Miksi tallennettu salasana ei auta

Välimuistiin tallennettu salasana vastaa salasanaa koskevaan haasteeseen. Se ei pidennä tunnisteen elinikää eikä täytä toisen tekijän tai laitteen tilan tarkistuksen haastetta. Yritysten tiheyden lisääminen, yhteyden aikakatkaisujen lyhentäminen tai profiilin uudelleentuonti ei muuta mitään siinä, kuinka kauan identiteettijärjestelmä hyväksyy tunnistetiedon.

Kestävät korjaukset ovat oikea elinikä oikeassa objektissa tai asiakasvirta, joka pystyy suorittamaan vaaditun haasteen ilman ihmistä.

Mitä dokumentoida ja testata

Kirjoita kaikki kolme arvoa: yhdyskäytävän istunto- ja joutorajat, tunnisteen elinikä ja lyhin olennainen kuvauksen aikaraja polulla. Testaa sitten jokainen vanheneminen tarkoituksella lyhentämällä yhtä arvoa, seuraamalla mitä asiakas ilmoittaa ja palauttamalla se. Vahvista, mitä käyttäjän on tehtävä kullakin rajalla, koska täyden kirjautumisen vaatiminen joka tunti on linjapäätös, joka jonkun olisi pitänyt tehdä tarkoituksella.

Katkos, joka saapuu ilman mitään todennustapahtumaa, kuuluu polulle tai joutoajan ajastimelle, ja se on eri tutkinta eri todisteilla.