Bloqueado por un bucle de reintentos de VPN: detén primeiro o cliente

Ás 02:40 a conta bloquéase e non hai ninguén diante do teclado. Un cliente nun estante segue presentando o contrasinal que gardou o mes pasado, a pasarela segue rexeitándoo, e o contador detrás do bloqueo sobe sen que interveña ningunha persoa. Iso é un bucle de reintentos e non un ataque, e hai que detelo antes de que se poida recuperar a conta.

Trátao como dous problemas nunha orde fixa. Detén primeiro o emisor e despois restaura o acceso, porque facelo ao revés reinicia o bucle en cuestión de minutos.

Averigua que proceso envía os fallos

Comeza polas marcas de tempo do sistema de identidade e compáraas con cada cliente que ten a conta. Un perfil xestionado, un servizo sen supervisión, un teléfono nun caixón e un portátil de reserva con credenciais antigas poden autenticarse todos como a mesma persoa. O que falla cada poucos segundos é o bucle, e o que falla unha vez ao día adoita ser unha persoa que o esqueceu. Ambos alimentan o mesmo contador, e aí está a trampa.

Distingue un rexeitamento dunha pasarela inalcanzable mentres miras. Un tempo de espera esgotado, un fallo de resolución de nomes ou un porto pechado normalmente non incrementan un contador de fallos, mentres que un intercambio de autenticación completado que devolve un resultado de credencial incorrecta si o fai. Mesturar os dous produce a solución equivocada, porque un necesita o cliente detido e o outro necesita a ruta reparada.

Tres condicións que deciden a resposta

Tres feitos reducen isto a unha resposta. Primeiro, se o rexistro mostra un rexeitamento explícito ou un fallo de transporte. Segundo, se a identidade se comparte entre dispositivos ou servizos. Terceiro, se o cliente que reintenta é un que administras ti ou un que controla outra persoa.

Un rexeitamento explícito dun só cliente que controlas significa deter ese cliente, desbloquear pola ruta aprobada e facer un único inicio de sesión deliberado. Unha identidade compartida empurra a resposta cara ao aprovisionamento e non cara ao desbloqueo, porque o bucle retomarase no momento en que o outro dispositivo se reconecte. Os fallos de transporte apuntan á capa de rede, onde a protección da conta non é o asunto en absoluto.

Ningunha desas ramas implica debilitar a protección. Os limiares de bloqueo e os límites de velocidade existen porque o mesmo sinal que te molesta durante unha caída é o sinal que frea un intento de adiviñar un contrasinal.

Detén o emisor antes de desbloquear

Detén a unidade ou a conexión que segue autenticándose, e detena dunha forma que sobreviva a un reinicio. Poñer o cliente en pausa non abonda cando o seu servizo está configurado para arrincar automaticamente ao iniciar o sistema.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Espera uns minutos e confirma que o contador de fallos deixa de moverse. Esa pausa é a proba de que atopaches a fonte correcta. Se os fallos continúan, o bucle vén doutro sitio e o paso de desbloqueo tería sido inútil.

Só entón usa o proceso de desbloqueo ou recuperación documentado do operador, e séguio con exactamente un inicio de sesión controlado desde o dispositivo que pensas conservar. Os limiares exactos, os períodos de arrefriamento e a redacción da recuperación son específicos de cada servizo, así que leos en lugar de adiviñar un número.

Elimina a causa para que non volva

Actualiza a credencial gardada onde se posúe: no chaveiro do sistema operativo, no perfil do cliente ou na configuración da conta de servizo. Borrala dun sitio mentres outro conserva unha copia é como volve o bucle unha semana despois, normalmente cando un portátil que estaba desconectado regresa e reproduce o seu valor na caché.

Dálle á automatización unha identidade propia. Unha conta aprovisionada por separado coa súa propia credencial e os seus propios límites evita que un fallo de máquina deixe unha persoa fóra do correo, e fai que o fallo sexa atribuíble nos rexistros. Engade unha espera progresiva ao cliente para que unha credencial rexeitada deteña os reintentos en lugar de repetilos, e activa unha alarma ante fallos de autenticación repetidos para que o seguinte bucle se note en minutos e non ás 02:40.

Cando o informe vai a soporte, conserva o identificador da conta, as marcas de tempo e o nome do cliente. Os contrasinais e o material de recuperación nunca pertencen a ese rexistro.