Verrouillé par une boucle de nouvelles tentatives VPN : arrêtez d’abord le client

À 02:40, le compte se verrouille et personne n’est devant le clavier. Un client sur une étagère continue de présenter le mot de passe qu’il a enregistré le mois dernier, la passerelle continue de le refuser, et le compteur derrière le verrouillage grimpe sans qu’aucun humain n’intervienne. C’est une boucle de nouvelles tentatives et non une attaque, et elle doit être arrêtée avant que le compte puisse être récupéré.

Traitez-le comme deux problèmes dans un ordre fixe. Arrêtez d’abord l’émetteur, puis rétablissez l’accès, car faire l’inverse relance la boucle en quelques minutes.

Déterminez quel processus envoie les échecs

Partez des horodatages du système d’identité et comparez-les à chaque client qui détient le compte. Un profil géré, un service sans surveillance, un téléphone dans un tiroir et un portable de secours avec d’anciens identifiants peuvent tous s’authentifier comme la même personne. Celui qui échoue toutes les quelques secondes est la boucle, et celui qui échoue une fois par jour est généralement un humain qui a oublié. Les deux alimentent le même compteur, et c’est là le piège.

Distinguez un rejet d’une passerelle injoignable pendant que vous regardez. Un délai d’attente dépassé, un échec de résolution de nom ou un port fermé n’incrémentent normalement pas un compteur d’échecs, alors qu’un échange d’authentification abouti qui renvoie un résultat d’identifiant invalide le fait. Mélanger les deux produit le mauvais correctif, car l’un exige l’arrêt du client et l’autre la réparation du chemin.

Trois conditions qui décident de la réponse

Trois faits réduisent cela à une seule réponse. Premièrement, si l’enregistrement montre un rejet explicite ou une défaillance de transport. Deuxièmement, si l’identité est partagée entre appareils ou services. Troisièmement, si le client qui réessaie est un que vous administrez ou un que quelqu’un d’autre contrôle.

Un rejet explicite provenant d’un seul client que vous contrôlez signifie arrêter ce client, déverrouiller par la voie approuvée et faire une seule connexion délibérée. Une identité partagée pousse la réponse vers le provisionnement plutôt que vers le déverrouillage, car la boucle reprendra à l’instant où l’autre appareil se reconnectera. Les défaillances de transport pointent vers la couche réseau, où la protection du compte n’est pas du tout le sujet.

Aucune de ces branches n’implique d’affaiblir la protection. Les seuils de verrouillage et les limites de débit existent parce que le même signal qui vous agace pendant une panne est le signal qui ralentit une tentative de devinette de mot de passe.

Arrêtez l’émetteur avant de déverrouiller

Arrêtez l’unité ou la connexion qui continue de s’authentifier, et arrêtez-la d’une manière qui survive à un redémarrage. Mettre le client en pause ne suffit pas lorsque son service est réglé pour démarrer automatiquement au boot.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Attendez quelques minutes et confirmez que le compteur d’échecs cesse de bouger. Cette pause est la preuve que vous avez trouvé la bonne source. Si les échecs continuent, la boucle vient d’ailleurs et l’étape de déverrouillage aurait été inutile.

C’est seulement alors que vous devez utiliser la procédure de déverrouillage ou de récupération documentée de l’opérateur, et la suivre avec exactement une connexion contrôlée depuis l’appareil que vous comptez conserver. Les seuils exacts, les périodes de refroidissement et la formulation de la récupération sont propres à chaque service, alors lisez-les au lieu de deviner un chiffre.

Éliminez la cause pour qu’elle ne revienne pas

Mettez à jour l’identifiant enregistré là où il est détenu : dans le trousseau du système d’exploitation, dans le profil du client ou dans la configuration du compte de service. Le supprimer d’un endroit tandis qu’un autre en garde une copie est la façon dont la boucle revient une semaine plus tard, généralement quand un portable qui était hors ligne revient et rejoue sa valeur en cache.

Donnez à l’automatisation sa propre identité. Un compte provisionné séparément avec son propre identifiant et ses propres limites empêche une panne machine de verrouiller une personne hors de sa messagerie, et il rend la panne attribuable dans les journaux. Ajoutez un retrait progressif au client afin qu’un identifiant rejeté arrête les nouvelles tentatives au lieu de les répéter, et déclenchez une alerte sur les échecs d’authentification répétés pour que la boucle suivante soit remarquée en quelques minutes plutôt qu’à 02:40.

Lorsque le rapport part vers le support, conservez l’identifiant du compte, les horodatages et le nom du client. Les mots de passe et le matériel de récupération n’ont jamais leur place dans cet enregistrement.