OpenVPN lit in OTP-sesje letter falle: wat opnij ferifiearje fereasket

Fan de kliïntkant liket it op in tafallige ferbining in oere yn in wurkjende sesje. It tray-ikoan ferdwynt, de tunnel wurdt opnij boud, en de log toant in ferifikaasjeflater ynstee fan in netwurkflater. Wat eins barde is dat de sesje opnij ûnderhannele en de twadde hânskudden oanmeldgegevens nedich hie dêr't de kliïnt gjin jildige kopy fan hie. In ienmalige koade dy't by oanmelden wurke, kin net opnij wurkje, dat de kaaifernijing mislearret krekt sa't it ûntwurpen is.

De oplossing is in beslút oer wat it twadde hânskudden presintearje moat, net in langer werprobear-timer.

Folgje de útwikseling fanút it eachpunt fan de kliïnt

By oanmelden stjoert de kliïnt de brûkersnamme, it wachtwurd en in koade fan it tokenapparaat, en de tsjinner akseptearret de kombinaasje. Dêrnei rint de sesje oant in wer-ûnderhannelingstrigger ôfgiet, dy't in nij TLS-hânskudden binnen de besteande tunnel begjint. Dat hânskudden freget wer om ferifikaasje. As it ferifikaasjepaad fan de tsjinner in wachtwurd plus in aktuele ienmalige koade ferwachtet, hat de kliïnt gjin nije koade om oan te bieden, útsein as de brûker oanwêzich is om ien te typen.

De measte kliïnten iepenje gjin fraach midden yn de sesje, dat it hânskudden ferrint en de tunnel falt fuort. De brûker sjocht in opnij ferbinen, gjin ferifikaasjefraach, en dêrom jout it earste rapport meastentiids it netwurk de skuld.

auth-gen-token feroaret wa't de twadde fraach beantwurdet

auth-gen-token is de opsje dy't de tsjinner tastiet in token út te jaan nei in slagge oanmelding, en lettere wer-ûnderhannelingen presintearje dat token ynstee fan it wachtwurd en de koade te werheljen. De hânlieding dokumintearret syn libbensdoer en fernijingsgedrach, en it token moat behannele wurde as in oanmeldgegevens mei syn eigen ferfal. Yn it standertpaad falidearret de tsjinner it token sels ynstee fan de eksterne wachtwurdfersiferder wer op te roppen.

Mei in eksterne ferifikaasje-yntegraasje feroaret dy ferdieling. De plugin moat de tokenstatus begripe en syn eigen kontrôles tapasse, want de tsjinner is net langer it iennichste ûnderdiel dat beslút oft de sesje trochgiet. It token behannelje as noch in numerike ienmalige koade is gjin ymplemintaasje fan 'e funksje.

Beslút wat der mei de akkountstatus bart

In token dat de tagong fan in akkount oerlibbet is in gat yn it belied. Beslút hoe't in útskeakele akkount, in fuorthelle groeplidmaatskip of in ynlutsen apparaat fan krêft wurdt wylst it token noch jildich is. Koarte tokenlibbensdoeren meitsje it finster lytser; in eksplisyt ynlúkpaad makket it mei opsetsin. Skriuw it antwurd op foar't jo de opsje ynskeakelje, want it standertpaad rieplachtet de eksterne ferifikaasje net by elke wer-ûnderhanneling.

Yn in multi-tsjinner-ynstallaasje moat it token-ûndertekeningsgeheim dield wurde, oars kin de kliïnt nei in knooppunt stjoerd wurde dat syn token net falidearje kin.

Test ferfal en opnij ferbinen, net allinnich oanmelden

Ferlytsje it wer-ûnderhannelingsinterval yn in testprofyl sadat it twadde hânskudden bart wylst jo sjogge, en folgje dan beide logs. Befêstigje dat it token by oanmelden útjûn wurdt, by kaaifernijing presintearre wurdt, en neffens de konfigurearre libbensdoer fernijd of opnij útjûn wurdt. Twing dan in tokenferfal en in folsleine opnij ferbining ôf, want in kliïnt dy't skjin opnij ferbynt kin noch altyd mislearje op it kaaifernijingspaad.

Test akkountfuortsetting as lêste. Dat gefal fertelt jo oft it belied dat jo skreaun hawwe útfierd of allinnich dokumintearre wurdt.

Reparearje it net troch fernijing út te skeakeljen

It wer-ûnderhannelingsinterval op nul sette by beide kanten hellet it symptoom en de kaairotasjon dêrmei fuort. Dat ferberget in probleem fan wergebrûk fan oanmeldgegevens efter in beliedswiziging dy't nimmen neisjoen hat. Hâld de fernijing en kies tusken in token fan de tsjinner en in nije ynteraktive útdaging op basis fan oft der in brûker oanwêzich is.

In langer werprobear-timer makket in brûkte koade net wer jildich. It fertraget allinnich de ferbining en makket de log dreger te lêzen.