Miksi VPN-yhteys pyytää tunnistetietoja uudelleen
Tallennettu salasana ja uudelleenkäytettävä token vanhenevat eri aikatauluilla. Lue, mitä materiaalia yhteys pyysi, ennen kuin muutat asiakkaassa mitään.
Tunneli, joka toimi tunteja, pyytää salasanaa heti kun kannettava herää, eikä mikään kokoonpanossa ole muuttunut. Muuttunut on sen tunnistetiedon tila, jota yhteys yritti käyttää uudelleen. Sitä hallitsee kolme materiaalilajia, ja vain yksi niistä selviää mielivaltaisesta katkoksesta.
Lue, mitä niistä asiakas pyysi, sillä kaikki kolme vanhenevat eri kelloilla ja epäonnistuvat eri viesteillä.
Kolme uudelleenkäytettävän materiaalin lajia
Välimuistiin tallennettu salasana on asiakkaan hallussa oleva salaisuus, ja se pysyy voimassa, kunnes tili vaihtaa sen. Istuntotokenin myöntää palvelin onnistuneen kirjautumisen jälkeen, sillä on oma elinikänsä ja se voidaan peruuttaa milloin tahansa. TLS-istuntolippu tai IKE-turva-assosiaatio on protokollan tila, halpa jatkaa ja täysin riippumaton salasanastasi. Kunkin myöntää eri komponentti, ja kukin vanhenee omilla ehdoillaan.
Ensimmäinen selviää uudelleenkäynnistyksestä, toinen selviää yleensä lepotilasta, ja kolmas ei välttämättä selviä verkon vaihdosta lainkaan. Niiden sekoittaminen tuottaa väärän korjauksen, esimerkiksi sellaisen salasanan nollauksen, jota ei koskaan hylätty.
Itse kehote on diagnoosi. Selainikkuna tai toisen tekijän koodi tarkoittaa, että palvelin vaati vuorovaikutteista todennusta, kun taas hiljainen epäonnistuminen ilman kehotetta tarkoittaa, että asiakas ei koskaan ehtinyt niin pitkälle, että siltä olisi kysytty.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Avainten uusiminen ei ole uudelleentodennus
Avainten uusiminen korvaa avaimet säilyttäen todennetun identiteetin, minkä vuoksi se tapahtuu terveessä tunnelissa ajoittain hiljaa. Uudelleentodennus toistaa itse identiteettitarkistuksen, ja se on tapahtuma, joka tarvitsee sinua. IKEv2 erottaa ne toisistaan selvästi, ja vastapuoli voi vaatia täyden uudelleentodennuksen määritetyin väliajoin riippumatta siitä, kuinka monta avainten uusimista välissä tapahtui. Tapahtumat näyttävät ulkopuolelta samoilta, kunnes luet, kumman loki nimeää.
OpenVPN käyttäytyy samoin omassa sanastossaan: uudelleenneuvotteluväli virkistää datakanavan, ja todennustoken voidaan palauttaa asiakkaalle, jotta seuraavalla yhteydellä vältetään täysi kirjautuminen. Sillä tokenilla on elinikä, ja palvelin päättää, hyväksytäänkö se uudelleen.
Niinpä uudelleenyhdistäminen kahdeksan tunnin jälkeen voi epäonnistua siinä, missä kahdeksan minuutin jälkeen onnistui, ilman mitään kokoonpanomuutosta kummallakaan puolella. Se on koko selitys kehotteelle, joka ilmestyy vasta lounaan jälkeen.
Kun asiakas ei pysty suorittamaan uutta haastetta
Käytäntö, joka vaatii selainvaiheen, epäonnistuu asiakkaassa, jolla ei ole keinoa näyttää sitä. Päättömät palvelimet, käynnistysskriptit ja vain salasanatodennukseen rakennetut vanhat profiilit törmäävät kaikki tuohon seinään, ja epäonnistuminen näkyy usein yleisenä aikakatkaisuna eikä todennusvirheenä.
Laite- ja verkkosiirtymät voivat myös osua käytännön arviointi-ikkunaan, joten siirtyminen Wi-Fi-verkosta hotspotiin osuu samaan tarkistukseen, joka olisi tapahtunut muutenkin. Yhteensattuma saa verkon näyttämään syylliseltä, kun syy on ajastin.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
Ensimmäinen rivi näyttää uudelleenneuvottelu- ja todennustapahtumat asiakkaan omassa lokissa, ja toinen näyttää turva-assosiaatiot, jotka strongSwan-vastapuoli tällä hetkellä pitää. Vertaa aikaleimoja hetkeen, jolloin kehote ilmestyi; osuma vahvistaa ajastimen eikä verkkoa.
Mitä raportoida ja mitä ei kytkeä pois
Jos manuaalinen kirjautuminen onnistuu ja automaattinen uudelleenkäyttö epäonnistuu johdonmukaisesti, sano täsmälleen se operaattorille. Se nimeää komponentin: uudelleenkäytön polun, ei tunnistetietoa. Lisää epäonnistumisen aika, käytössä oleva tili ja näkemäsi kehotetyyppi.
Älä poista toista tekijää käytöstä, älä ohita varmennekelpoisuuden tarkistusta äläkä liitä tunnistetietoja skriptiin tehdäksesi yhteydestä hiljaisen. Kukin niistä poistaa tarkistuksen, jonka vuoksi käytäntö on olemassa, ja kukin muuttaa kirjautumiskehotteen tapaukseksi.
Pyydä sen sijaan tuettua kulkua: asiakasta, joka pystyy suorittamaan haasteen, työpäivään sopivaa tokenin elinikää tai hyväksyttyä ei-vuorovaikutteista profiilia koneelle, joka ei voi kysyä. Ne ovat kaikki kokoonpanopäätöksiä, jotka joku voi hyväksyä, mitä kiertotie ei ole.