VPN લોગિન ચેતવણીઓ ઘૂસણખોરીની ચેતવણીઓ નથી: સેશન પર નજર રાખો
અસામાન્ય સાઇન-ઇન સમીક્ષાનું કારણ છે, ચુકાદો નથી. ઘૂસણખોરી કહેતા પહેલાં ઓથેન્ટિકેશન રેકોર્ડને સેશન સાથે, પછી સેશને શું સ્પર્શ્યું તેની સાથે જોડો.
નવા દેશ પર ચાલુ થતી VPN ચેતવણી નિર્ણાયક લાગે છે, અને સામાન્ય રીતે એ નથી. ઓથેન્ટિકેશન કહે છે કે એક પ્રયાસ સ્વીકારાયો; સેશન કહે છે કે કયું જોડાણ તેને વહી ગયું; સંસાધન રેકોર્ડ કહે છે કે તે જોડાણની અંદર શું થયું. દરેક અલગ પ્રશ્નનો જવાબ આપે છે. ત્રણેયને ભેગા કરતો નિયમ સોમવારે ત્રીસ ટિકિટ બનાવે છે અને શુક્રવારે સાચો કિસ્સો ચૂકી જાય છે.
વિદેશી સરનામું પ્રશ્ન છે, જવાબ નહીં
પ્રવાસ, બીજા દેશમાંથી બહાર નીકળતા મોબાઇલ ઓપરેટરો, કોર્પોરેટ વેબ પ્રોક્સી અને ફરી ફાળવેલ carrier-grade NAT પૂલ—બધા દેખીતો સ્રોત ખસેડે છે, હુમલાખોરને નહીં. સાઇન-ઇન રેકોર્ડ દર્શાવે છે કે જોડાણ નેટવર્કમાં ક્યાંથી દાખલ થયું, કોણ ઉપકરણ પકડીને હતું તે નહીં.
ઊલટી નિષ્ફળતા વધુ ખરાબ છે કારણ કે તે શાંત છે. વપરાશકર્તાના પોતાના શહેરમાંથી વપરાયેલી ચોરાયેલી પાસવર્ડ એવું લોગિન બનાવે છે જે ભૂગોળ તપાસમાં પહેલાના દરેક લોગિન સાથે મેળ ખાય છે.
ભૂગોળને ચુકાદો ગણવાનો માપી શકાય તેવો ખર્ચ છે. પ્રવાસ કરતા લેપટોપ સમીક્ષાઓનો સ્થિર પ્રવાહ બનાવે છે, સમીક્ષકો વાંચ્યા વિના તેમને બંધ કરતા શીખે છે, અને આ ટેવ ત્યાં સુધી ટકે છે જ્યાં સુધી સાચો કિસ્સો એ જ કતારમાં ન આવે.
ત્રણ પ્રકારના રેકોર્ડ ત્રણ અલગ પ્રશ્નોના જવાબ આપે છે
તૈનાત ઉત્પાદનો ખરેખર શું બહાર કાઢે છે ત્યાંથી શરૂ કરો, ઉત્પાદન બ્રોશર કહે છે કે તેઓ શું કાઢી શકે તેનાથી નહીં. ઓથેન્ટિકેશન નિર્ણય દાવો કરેલી ઓળખ, પદ્ધતિ અને પરિણામનું નામ આપે છે. સેશન જીવનચક્ર જોડાણ, ગેટવે અને ફાળવેલ સરનામાનું નામ આપે છે, શરૂઆતથી સ્ટોપ સુધી.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
ખાલી કોષ સંગ્રહમાં ખાલી જગ્યા છે, નિર્દોષ ઠરાવ નહીં. જો સંસાધન ઘટનાઓ ક્યારેય ન આવે, તો શંકાસ્પદ વાંચનની ગેરહાજરીનો અર્થ છે કે પાઇપલાઇન પાસે જણાવવા જેવું કંઈ નથી, અને શાંત ડેશબોર્ડ નેટવર્કને નહીં, પાઇપલાઇનનું વર્ણન કરે છે. તેમના પર આધારિત નિયમનું વચન આપતા પહેલાં તૈનાતી ખરેખર કયા રેકોર્ડ બનાવે છે તે લખો, અને દરેક ખૂટતા ફીડનો માલિક નામ આપો.
હિસાબી વિગતો એ જગ્યા છે જ્યાં સેશન ચકાસી શકાય તેવા બને છે. RFC 2866 માં વર્ણવેલ RADIUS હિસાબ સેશન ઓળખકર્તા સાથે જોડાયેલ શરૂઆત, સ્ટોપ અને વચગાળાના અપડેટ્સ વહે છે, તેથી શરૂઆત હોય પણ સ્ટોપ ન હોય તેવું સેશન રહસ્ય નહીં, તમે નામ આપી શકો તેવી ખાલી જગ્યા છે.
વપરાશકર્તા નામ પર નહીં, સેશન પર જોડો
એક ખાતું કાયદેસર રીતે એકસાથે ઘણાં સેશન રાખે છે: લેપટોપ, ફોન, રાતભર જોડાયેલું રહેલું લેબ મશીન. તે વપરાશકર્તા નામ માટેની દરેક ઘટના જોડવાથી ત્રણ ઉપકરણ એક વાર્તામાં ભળી જાય છે અને પછી સંયોજનને સમાધાન તરીકે વાંચવામાં આવે છે. ફાળવેલ સરનામાં પણ પુનર્વપરાય છે, તેથી સેશન પૂરું થયા પછી પણ સરનામા સાથે મેળ ખાતું જોડાણ ગયા મહિનાના ઉપકરણને આજના બનાવમાં ખેંચી લાવે છે. સરનામા પાસે સેશન કી રાખો અને મેળને સેશને ખરેખર આવરી લીધેલા સમય-ગવાક્ષ સુધી મર્યાદિત કરો.
જ્યાં સેવા જોતા પહેલાં અનુવાદ મૂળ સ્રોત દૂર કરે છે, ત્યાં તે સીમા પર ટકી રહેતી ઓળખ વાપરો, જેમ કે પરસ્પર TLS વિષય અથવા એકલ સાઇન-ઓન દાવો. સરનામા અને વ્યક્તિ વચ્ચે એક-થી-એક મેપિંગ શોધી કાઢવું વધારાના પગલાં સાથે એ જ ભૂલ છે.
માલિક વિનાની ચેતવણી ડેશબોર્ડ છે
દરેક નિયમને શરત, તેને ઉત્પન્ન કરતી નિર્દોષ સમજૂતી, ખેંચવાના પુરાવા અને કાર્ય કરતી વ્યક્તિની જરૂર છે. વારંવાર નકારાયેલ વહીવટી કામગીરી, નિષ્ફળ પાસવર્ડનો ફૂટારો અને મૌન સંગ્રાહક ત્રણ અલગ ઘટનાઓ છે, ત્રણ અલગ ઘડિયાળો સાથે.
સૂચના નિયંત્રણ નથી, અને વિતરણ યાદી કંઈપણ મર્યાદિત કરતી નથી. જીવંત સેશન બદલવા માટે જે ઘટક તે કરી શકે તે જરૂરી છે, ગેટવે જોડાણ કાઢી નાખે કે ઓળખ પ્રદાતા સેશન રદ કરે. જૂના ફીડ અને ખૂટતા સ્ટોપ રેકોર્ડ પણ નિયમના લખાણમાં આવે છે, કારણ કે ચોવીસ કલાક કંઈ ન મોકલનાર સંગ્રાહક ડેશબોર્ડથી બરાબર શાંત નેટવર્ક જેવો દેખાય છે. ફરક ફક્ત પાઇપલાઇનમાં જ દેખાય છે.
શાંત અઠવાડિયા પર ભરોસો કરતા પહેલાં સંગ્રહ માર્ગ તપાસો
એક પણ નિયમ ટ્યુન કરતા પહેલાં પાઇપલાઇનને શરૂઆતથી અંત સુધી સાબિત કરો. નીચેની આદેશો પુષ્ટિ કરે છે કે ઓથેન્ટિકેશન અને હિસાબી શ્રોતા સક્રિય છે, કે પરીક્ષણ ક્રેડેન્શિયલ સાચા કારણસર નકારાય છે, અને કે સેશન ઘટનાઓ હજી આવી રહી છે:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
પરીક્ષણનું Access-Reject સાબિત કરે છે કે વિનંતી સર્વર સુધી પહોંચી અને વહેંચાયેલ રહસ્ય મેળ ખાધું, અને આ ભાગ લોકો છોડી દે છે. તેના બદલે ટાઇમઆઉટ રહસ્ય, શ્રોતા કે તેની સામેના ફિલ્ટર તરફ ઇશારો કરે છે, અને તે સુધારાય નહીં ત્યાં સુધી નીચેની દરેક ચેતવણી ચકાસી શકાય નહીં.
ઘડિયાળની સ્થિતિ મહત્વની છે કારણ કે સહસંબંધ વિંડો સંમતિ ધારે છે. થોડી મિનિટ ખસેલો ગેટવે બાકી રીતે સ્વચ્છ સેશન-જોડાણને અશક્ય દેખાડે છે, અને સમીક્ષકો વિંડો પહોળી કરીને ભરપાઈ કરે છે જ્યાં સુધી જોડાણ ભેદ કરવાનું બંધ ન કરે. નિયમ સંપાદિત કરતા પહેલાં વિચલન તપાસો.
પછી એક નિયમને નિર્દોષ પરીક્ષણ હેઠળ ચલાવો: અણધાર્યા સરનામેથી લોગિન બનાવો, ચેતવણી ચાલુ થાય તેની ખાતરી કરો, પ્રતિસાદક સેશન અને તેની સંસાધન ઘટનાઓ ખેંચી શકે તેની ખાતરી કરો, અને ટિકિટ સેશન ઓળખકર્તા ધરાવે તેની ખાતરી કરો. સુસંગત વાર્તા બનાવતો નિયમ પાસ થાય છે. લોગ લાઇનનો ઢગલો બનાવતો નિયમ હજી ડેશબોર્ડ છે. પરિણામ નિયમની બાજુમાં નોંધો જેથી આગળની સમીક્ષા અનુમાન નહીં, પુરાવાથી શરૂ થાય.